CVE-2026-77352
Açıklama
Wallos, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz kişisel bir abonelik takip aracıdır. 2.0.0 versiyonundan 5.0.0 versiyonu öncesine kadar, herhangi bir kimliği doğrulanmış Wallos kullanıcısı (yönetici hakları gerekmez), kişisel e-posta bildirimlerinin SMTP ana bilgisayarını dahili bir IP olarak ayarlayarak, sunucunun dahili/bağlantı yerel adreslerine rastgele giden SMTP bağlantıları açmasını sağlayabilir. Kullanıcı başına bildirim ayarları uç noktası (endpoints/notifications/saveemailnotifications.php) herhangi bir SSRF doğrulaması yapmamakta ve bildirim cron işlemi (endpoints/cronjobs/sendnotifications.php), kullanıcı tarafından kontrol edilen bu ana bilgisayarı doğrudan PHPMailer'a aktarmaktadır ($mail->Host = $email['smtpAddress']). Kullanıcının abonelik bildirimi tetiklendiğinde, sunucu seçilen host:port adresine bağlanır. Bu sorun 5.0.0 versiyonunda düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ellite Wallos | >= 2.0.0, < 5.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.