CVE-2026-61640
Açıklama
Wallos, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz kişisel bir abonelik takipçisidir. Versiyon 4.9.6 öncesinde, includes/oidc/handle_oidc_callback.php:18-49 dosyasında Yönetici tarafından yapılandırılan OIDC token_url ve user_info_url değerleri, hiçbir SSRF filtrelemesi olmaksızın doğrudan curl_init() içerisinde kullanılmaktadır. validate_webhook_url_for_ssrf() fonksiyonuna sahip olan logo/webhook URL'lerinin aksine, OIDC URL'leri tüm korumaları atlamaktadır. Yönetici; bulut meta verilerine erişim veya dahili ağda pivotlama yapmak için URL'yi http://169.254.169.254/latest/meta-data/ olarak ayarlayabilir. Bu sorun versiyon 4.9.6 ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ellite Wallos | < 4.9.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.