CVE-2026-77352
Təsvir
Wallos açıq mənbəli və öz serverində quraşdırıla bilən fərdi abunəlik izləyicisidir. Versiya 2.0.0-dan versiya 5.0.0-a qədər olan dövrdə, hər hansı autentifikasiya olunmuş Wallos istifadəçisi (admin hüquqları tələb olunmur), şəxsi e-poçt bildirişlərinin SMTP hostunu daxili IP ünvanına təyin etməklə, serverin daxili/link-local ünvanlara ixtiyari çıxan SMTP bağlantıları qurmasını təmin edə bilər. İstifadəçi başına bildiriş parametrləri son nöqtəsi (endpoints/notifications/saveemailnotifications.php) heç bir SSRF yoxlaması aparmır və bildiriş cron faylı (endpoints/cronjobs/sendnotifications.php) həmin istifadəçi tərəfindən idarə olunan hostu birbaşa PHPMailer-ə ötürür ($mail->Host = $email['smtpAddress']). İstifadəçinin abunəlik bildirişi işə düşdükdə, server seçilmiş host:port ünvanına bağlanır. Bu problem versiya 5.0.0-da aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ellite Wallos | >= 2.0.0, < 5.0.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.