CVE-2026-61641
Reporte público de vulnerabilidad
BAJA Exploit público detectado CVSS 8.1 / HIGH CWE-287GTN Risk Score
Prioridad media
Score calculado con CVSS, EPSS, CISA KEV, evidencia pública de exploit y vector de ataque.
Resumen ejecutivo
Resumen ejecutivo
Wallos es un rastreador de suscripciones personales de código abierto y autohospedable. Desde la versión 4.0.0 hasta la versión 4.9.6 anterior, el inicio de sesión OIDC de Wallos vincula una identidad OIDC entrante a una cuenta local existente haciendo coincidir únicamente el reclamo de correo electrónico, sin verificar que el IdP haya marcado ese correo electrónico como verificado (email_verified). Cuando Wallos se configura con un IdP que permite a un usuario presentar un correo electrónico arbitrario o no verificado (IdP multiinquilino, IdP con autorregistro abierto o cualquier IdP que el atacante controle parcialmente), un atacante sin una cuenta de Wallos puede autenticarse con el correo electrónico del administrador e iniciar sesión como administrador: toma de control total de la cuenta, no se necesita contraseña. Este problema se solucionó en la versión 4.9.6. Resumen de riesgo: CVE-2026-61641 presenta CVSS 8.1, severidad ALTA, EPSS 0.31%, CISA KEV: No, exploit público detectado: Sí. Producto/proveedor asociado: No disponible / No disponible. Se recomienda validar exposición, revisar versiones afectadas, aplicar parche o mitigación disponible y monitorear actividad relacionada.
Indicadores
¿De qué se trata?
Wallos es un rastreador de suscripciones personales de código abierto y autohospedable. Desde la versión 4.0.0 hasta la versión 4.9.6 anterior, el inicio de sesión OIDC de Wallos vincula una identidad OIDC entrante a una cuenta local existente haciendo coincidir únicamente el reclamo de correo electrónico, sin verificar que el IdP haya marcado ese correo electrónico como verificado (email_verified). Cuando Wallos se configura con un IdP que permite a un usuario presentar un correo electrónico arbitrario o no verificado (IdP multiinquilino, IdP con autorregistro abierto o cualquier IdP que el atacante controle parcialmente), un atacante sin una cuenta de Wallos puede autenticarse con el correo electrónico del administrador e iniciar sesión como administrador: toma de control total de la cuenta, no se necesita contraseña. Este problema se solucionó en la versión 4.9.6.
Ver descripción original en inglés
Wallos is an open-source, self-hostable personal subscription tracker. From version 4.0.0 to before version 4.9.6, Wallos's OIDC login links an incoming OIDC identity to an existing local account by matching the email claim alone, without verifying that the IdP marked that email as verified (email_verified). When Wallos is configured against an IdP that lets a user present an arbitrary or unverified email (multi-tenant IdPs, IdPs with open self-registration, or any IdP the attacker partly controls), an attacker with no Wallos account can authenticate with the admin's email and be logged in as the admin — full account takeover, no password needed. This issue has been patched in version 4.9.6.
Producto / proveedor
Fechas
Estado de explotación
Evidencia encontrada
| Fuente | Estado | Detalle | Confianza |
|---|---|---|---|
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
Nota: esta sección es referencial y defensiva. La ausencia de evidencia pública no garantiza que no exista explotación privada o no publicada.
¿Cómo superarlo / mitigarlo?
- Mantener monitoreo. La probabilidad actual de explotación es baja según EPSS.
- CVSS alto: evaluar impacto en servicios relevantes.
- Vector de red: revisar exposición pública, reglas de firewall, WAF/VPN y segmentación.