CVE-2026-77348
Reporte público de vulnerabilidad
BAJA Exploit público detectado CVSS 8.2 / HIGH CWE-441GTN Risk Score
Prioridad media
Score calculado con CVSS, EPSS, CISA KEV, evidencia pública de exploit y vector de ataque.
Resumen ejecutivo
Resumen ejecutivo
Wallos es un rastreador de suscripciones personales de código abierto y autohospedable. Antes de la versión 5.0.0, la solución para CVE-2026-33407 (GHSA-hhjq-82f8-m6rc, "SSRF a través de la variable de entorno de proxy HTTP") endurecía los puntos finales/logos/search.php al deshabilitar el proxy cURL (CURLOPT_PROXY = '' + CURLOPT_NOPROXY = '*'). Sin embargo, Wallos envía un segundo punto final de búsqueda de imágenes de logotipos, casi idéntico y no autenticado (endpoints/paids/search.php) al que no se le dio el mismo endurecimiento. Todavía pasa la variable de entorno HTTP_PROXY/HTTPS_PROXY directamente a CURLOPT_PROXY. Este problema se solucionó en la versión 5.0.0. Resumen de riesgo: CVE-2026-77348 presenta CVSS 8.2, severidad ALTA, EPSS 0.25%, CISA KEV: No, exploit público detectado: Sí. Producto/proveedor asociado: No disponible / No disponible. Se recomienda validar exposición, revisar versiones afectadas, aplicar parche o mitigación disponible y monitorear actividad relacionada.
Indicadores
¿De qué se trata?
Wallos es un rastreador de suscripciones personales de código abierto y autohospedable. Antes de la versión 5.0.0, la solución para CVE-2026-33407 (GHSA-hhjq-82f8-m6rc, "SSRF a través de la variable de entorno de proxy HTTP") endurecía los puntos finales/logos/search.php al deshabilitar el proxy cURL (CURLOPT_PROXY = '' + CURLOPT_NOPROXY = '*'). Sin embargo, Wallos envía un segundo punto final de búsqueda de imágenes de logotipos, casi idéntico y no autenticado (endpoints/paids/search.php) al que no se le dio el mismo endurecimiento. Todavía pasa la variable de entorno HTTP_PROXY/HTTPS_PROXY directamente a CURLOPT_PROXY. Este problema se solucionó en la versión 5.0.0.
Ver descripción original en inglés
Wallos is an open-source, self-hostable personal subscription tracker. Prior to version 5.0.0, the fix for CVE-2026-33407 (GHSA-hhjq-82f8-m6rc, "SSRF via HTTP Proxy Environment Variable") hardened endpoints/logos/search.php by disabling cURL proxying (CURLOPT_PROXY = '' + CURLOPT_NOPROXY = '*'). However, Wallos ships a second, near-identical, unauthenticated logo-image search endpoint — endpoints/payments/search.php — that was not given the same hardening. It still passes the HTTP_PROXY/HTTPS_PROXY environment variable straight into CURLOPT_PROXY. This issue has been patched in version 5.0.0.
Producto / proveedor
Fechas
Estado de explotación
Evidencia encontrada
| Fuente | Estado | Detalle | Confianza |
|---|---|---|---|
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
Nota: esta sección es referencial y defensiva. La ausencia de evidencia pública no garantiza que no exista explotación privada o no publicada.
¿Cómo superarlo / mitigarlo?
- Mantener monitoreo. La probabilidad actual de explotación es baja según EPSS.
- CVSS alto: evaluar impacto en servicios relevantes.
- Vector de red: revisar exposición pública, reglas de firewall, WAF/VPN y segmentación.