CVE-2026-61641
Açıklama
Wallos, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz kişisel bir abonelik takipçisidir. Versiyon 4.0.0 ile versiyon 4.9.6 öncesi arasında, Wallos'un OIDC giriş işlemi, IdP'nin bu e-postayı doğrulanmış olarak işaretlediğini (email_verified) doğrulamadan, yalnızca e-posta talebini eşleştirerek gelen bir OIDC kimliğini mevcut bir yerel hesaba bağlar. Wallos, bir kullanıcının rastgele veya doğrulanmamış bir e-posta sunmasına izin veren bir IdP (çok kiracılı IdP'ler, açık self-kayıt imkanı sunan IdP'ler veya saldırganın kısmen kontrol ettiği herhangi bir IdP) ile yapılandırıldığında, Wallos hesabı olmayan bir saldırgan yönetici e-postasıyla kimlik doğrulaması yapabilir ve yönetici olarak giriş yapabilir; bu durum şifreye gerek kalmadan tam hesap ele geçirilmesine yol açar. Bu sorun versiyon 4.9.6 ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ellite Wallos | >= 4.0.0, < 4.9.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.