CVE-2026-61640
Reporte público de vulnerabilidad
BAJA Exploit público detectado CVSS 8.5 / HIGH CWE-918GTN Risk Score
Prioridad media
Score calculado con CVSS, EPSS, CISA KEV, evidencia pública de exploit y vector de ataque.
Resumen ejecutivo
Resumen ejecutivo
Wallos es un rastreador de suscripciones personales de código abierto y autohospedable. Antes de la versión 4.9.6, token_url y user_info_url de OIDC configurados por el administrador en include/oidc/handle_oidc_callback.php:18-49 se usan directamente en curl_init() sin filtrado SSRF. A diferencia de las URL de logotipo/webhook que tienen validar_webhook_url_for_ssrf(), las URL de OIDC omiten todas las protecciones. El administrador establece la URL en http://169.254.169.254/latest/meta-data/ para acceder a metadatos en la nube o girar la red interna. Este problema se solucionó en la versión 4.9.6. Resumen de riesgo: CVE-2026-61640 presenta CVSS 8.5, severidad ALTA, EPSS 0.31%, CISA KEV: No, exploit público detectado: Sí. Producto/proveedor asociado: No disponible / No disponible. Se recomienda validar exposición, revisar versiones afectadas, aplicar parche o mitigación disponible y monitorear actividad relacionada.
Indicadores
¿De qué se trata?
Wallos es un rastreador de suscripciones personales de código abierto y autohospedable. Antes de la versión 4.9.6, token_url y user_info_url de OIDC configurados por el administrador en include/oidc/handle_oidc_callback.php:18-49 se usan directamente en curl_init() sin filtrado SSRF. A diferencia de las URL de logotipo/webhook que tienen validar_webhook_url_for_ssrf(), las URL de OIDC omiten todas las protecciones. El administrador establece la URL en http://169.254.169.254/latest/meta-data/ para acceder a metadatos en la nube o girar la red interna. Este problema se solucionó en la versión 4.9.6.
Ver descripción original en inglés
Wallos is an open-source, self-hostable personal subscription tracker. Prior to version 4.9.6, Admin-configured OIDC token_url and user_info_url in includes/oidc/handle_oidc_callback.php:18-49 are used directly in curl_init() with zero SSRF filtering. Unlike logo/webhook URLs which have validate_webhook_url_for_ssrf(), OIDC URLs bypass all protections. Admin sets URL to http://169.254.169.254/latest/meta-data/ for cloud metadata access or internal network pivoting. This issue has been patched in version 4.9.6.
Producto / proveedor
Fechas
Estado de explotación
Evidencia encontrada
| Fuente | Estado | Detalle | Confianza |
|---|---|---|---|
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
Nota: esta sección es referencial y defensiva. La ausencia de evidencia pública no garantiza que no exista explotación privada o no publicada.
¿Cómo superarlo / mitigarlo?
- Mantener monitoreo. La probabilidad actual de explotación es baja según EPSS.
- CVSS alto: evaluar impacto en servicios relevantes.
- Vector de red: revisar exposición pública, reglas de firewall, WAF/VPN y segmentación.