CVE-2026-61639

Nome do Software Vulnerável e Versões Afetadas Wallos versões anteriores a 4.9.6

Description Existe um problema onde a aplicação falha ao validar nomes de entradas para sequências de traversal de diretório ao processar arquivos zip. Um administrador pode fazer o upload de um arquivo zip especialmente criado para o endpoint 'POST /endpoints/db/restore.php', que utiliza a função ZipArchive::extractTo(). Ao incluir entradas com sequências ../, como logos/../../endpoints/shell.php, um invasor pode gravar um webshell diretamente no webroot. O filtro de extensão existente é ineficaz porque se aplica apenas à etapa de cópia de logos após a extração já ter ocorrido.

Recommendations Atualizar para a versão 4.9.6.