CVE-2026-54598

Reporte público de vulnerabilidad

BAJA Exploit público detectado CVSS 7.5 / HIGH CWE-306

GTN Risk Score

43/100

Prioridad media

Score calculado con CVSS, EPSS, CISA KEV, evidencia pública de exploit y vector de ataque.

Resumen ejecutivo

CVE-2026-54598 presenta una prioridad BAJA. El análisis público consolidado indica CVSS 7.5 (ALTA), EPSS 0.32%, CISA KEV: No, exploit público detectado: Sí. El GTN Risk Score es 43/100 (Prioridad media). Producto/proveedor asociado: No disponible / No disponible. Se recomienda validar exposición, revisar advisories oficiales, aplicar parche o mitigación disponible y monitorear actividad relacionada.

Resumen ejecutivo

Wallos es un rastreador de suscripciones personales de código abierto y autohospedable. Antes de la versión 4.9.4, endpoints/db/migrate.php ejecuta migraciones de esquemas de bases de datos cuando se llama a través de HTTP sin autenticación. Cualquier atacante no autenticado puede activar archivos de migración pendientes en la base de datos SQLite activa. Este problema se solucionó en la versión 4.9.4. Resumen de riesgo: CVE-2026-54598 presenta CVSS 7.5, severidad ALTA, EPSS 0.32%, CISA KEV: No, exploit público detectado: Sí. Producto/proveedor asociado: No disponible / No disponible. Se recomienda validar exposición, revisar versiones afectadas, aplicar parche o mitigación disponible y monitorear actividad relacionada.

Indicadores

EPSS 0.32% / valor crudo: 0.003150000

Percentil 23.93% / valor crudo: 0.239300000

CISA KEV No

CVSS 7.5

Severidad HIGH

Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Attack Vector NETWORK

¿De qué se trata?

Ver descripción original en inglés

Wallos is an open-source, self-hostable personal subscription tracker. Prior to version 4.9.4, endpoints/db/migrate.php executes database schema migrations when called over HTTP with zero authentication. Any unauthenticated attacker can trigger pending migration files against the live SQLite database. This issue has been patched in version 4.9.4.

Producto / proveedor

Vendor No disponible

Producto No disponible

Nombre vulnerabilidad No disponible

CWE CWE-306

Fechas

Publicada 2026-08-31T21:17:09.843

Modificada 2026-09-02T15:17:38.657

Due Date CISA No aplica

Consultada 2026-09-02 17:36:48

Estado de explotación

Estado Exploit público detectado

Exploit público Sí

Confianza Media-Alta

Evidencia encontrada

Fuente	Estado	Detalle	Confianza
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media

Nota: esta sección es referencial y defensiva. La ausencia de evidencia pública no garantiza que no exista explotación privada o no publicada.

¿Cómo superarlo / mitigarlo?

Mantener monitoreo. La probabilidad actual de explotación es baja según EPSS.
CVSS alto: evaluar impacto en servicios relevantes.
Vector de red: revisar exposición pública, reglas de firewall, WAF/VPN y segmentación.

Referencias

Volver al inicio Nueva consulta