CVE-2026-41687

Wallos przed wersją 5.0.0 pozwala uwierzytelnionym użytkownikom na wstrzykiwanie dowolnych właściwości i zdarzeń iCalendar do eksportowanego pliku .ics poprzez osadzenie surowych sekwencji CRLF w nazwach lub notatkach subskrypcji. Atakujący może przełamać bieżący blok VEVENT i wstawić kontrolowane zdarzenia kalendarza, w tym sfałszowanych organizatorów i adresy e-mail, do dowolnej aplikacji kalendarza subskrybującej ten kanał.

Wallos od wersji 2.0.0 do przed 5.0.0 pozwala każdemu uwierzytelnionemu użytkownikowi (bez uprawnień administratora) na zmuszenie serwera do nawiązywania dowolnych połączeń SMTP do adresów wewnętrznych lub link-local, poprzez ustawienie hosta SMTP w ustawieniach powiadomień e-mail na wewnętrzny adres IP. Brak walidacji SSRF w punkcie końcowym zapisu ustawień oraz w cronie powiadomień prowadzi do połączeń z wybranym hostem i portem.

Wallos przed wersją 5.0.0 pozwala każdemu uwierzytelnionemu użytkownikowi na zapisanie dowolnego hosta SMTP (w tym prywatnych adresów IP i adresów metadanych chmury) w ustawieniach powiadomień e-mail, bez walidacji SSRF po stronie serwera. Gdy zadanie cron uruchamia powiadomienia, przekazuje zapisany host bezpośrednio do PHPMailer, co powoduje, że serwer Wallos otwiera połączenie TCP do wskazanego adresu. Umożliwia to atakującemu z niskimi uprawnieniami skanowanie wewnętrznych usług sieciowych z perspektywy serwera. Problem naprawiono w wersji 5.0.0.

Wallos przed wersją 5.0.0 zawiera drugi, prawie identyczny, nieuwierzytelniony endpoint wyszukiwania logo (endpoints/payments/search.php), który nie został zabezpieczony przed SSRF. Przekazuje on zmienną środowiskową HTTP_PROXY/HTTPS_PROXY bezpośrednio do CURLOPT_PROXY.

Wallos to otwartoźródłowy, samodzielnie hostowany tracker subskrypcji. Od wersji 4.0.0 do przed 4.9.6, logowanie OIDC w Wallos łączy przychodzącą tożsamość OIDC z istniejącym lokalnym kontem, dopasowując wyłącznie adres e-mail, bez weryfikacji, czy IdP oznaczył ten e-mail jako zweryfikowany (email_verified). Gdy Wallos jest skonfigurowany z IdP, który pozwala użytkownikowi przedstawić dowolny lub niezweryfikowany e-mail (IdP wielodostępne, IdP z otwartą samorejestracją lub dowolny IdP częściowo kontrolowany przez atakującego), atakujący bez konta Wallos może uwierzytelnić się przy użyciu e-maila administratora i zalogować się jako administrator — pełne przejęcie konta bez hasła. Problem naprawiono w wersji 4.9.6.

Wallos to otwartoźródłowy, samodzielnie hostowany tracker subskrypcji. Przed wersją 4.9.6, skonfigurowane przez administratora adresy URL token_url i user_info_url OIDC w includes/oidc/handle_oidc_callback.php:18-49 są używane bezpośrednio w curl_init() bez żadnego filtrowania SSRF. W przeciwieństwie do adresów URL logo/webhook, które mają validate_webhook_url_for_ssrf(), adresy URL OIDC omijają wszystkie zabezpieczenia. Administrator może ustawić URL na http://169.254.169.254/latest/meta-data/ w celu uzyskania dostępu do metadanych chmury lub wewnętrznego przeskoku sieciowego. Problem naprawiono w wersji 4.9.6.

Wallos przed wersją 4.9.6 zawiera podatność na zapis plików poza katalogiem docelowym (path traversal) w punkcie końcowym POST /endpoints/db/restore.php. Funkcja ZipArchive::extractTo() nie sprawdza nazw wpisów pod kątem sekwencji '../', co pozwala administratorowi na przesłanie spreparowanego archiwum ZIP z plikiem logos/../../endpoints/shell.php, co skutkuje zapisaniem webshella w katalogu głównym serwera. Filtr rozszerzeń dotyczy tylko kopiowania logo po ekstrakcji, więc nie chroni przed tym atakiem.

Wallos przed wersją 4.9.6 zawiera podatność na SSRF (Server-Side Request Forgery) w punkcie końcowym POST /endpoints/notifications/testemailnotifications.php. Parametry smtpaddress i smtpport są pobierane z ciała żądania bez żadnej walidacji SSRF, a PHPMailer łączy się z hostem i portem podanym przez atakującego. Inne punkty końcowe powiadomień używają ssrf_helper.php, ale ten został pominięty. Każdy uwierzytelniony użytkownik może skanować sieć wewnętrzną i uzyskać dostęp do metadanych chmury.

Wallos przed wersją 4.9.4 zawiera podatność polegającą na braku uwierzytelnienia w punkcie końcowym endpoints/db/import.php. Jedyną ochroną jest liczba wierszy w tabeli użytkowników – jeśli wynosi zero (świeża lub niekonfigurowana instalacja), nieuwierzytelniony atakujący może zastąpić całą bazę danych.

Wallos przed wersją 4.9.4 zawiera podatność w mechanizmie OIDC (OpenID Connect). login.php generuje nonce stanu OIDC przechowywany w $_SESSION['oidc_state'], ale checksession.php obsługuje callback OIDC bez porównania przychodzącego stanu z wartością sesji. Atakujący może nakłonić ofiarę do odwiedzenia spreparowanego URL, co powoduje, że Wallos wymienia kod autoryzacyjny atakującego i loguje ofiarę na konto atakującego.