CVE-2026-61640

Nome do Software Vulnerável e Versões Afetadas Wallos versões anteriores a 4.9.6

Descrição Existe um problema onde as variáveis token url e user info url do OpenID Connect (OIDC), configuradas pelo administrador no arquivo handle oidc callback.php, são utilizadas diretamente na função curl init() sem filtragem de Server-Side Request Forgery (SSRF). SSRF é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido. Isso ignora as proteções existentes usadas para outras URLs, permitindo potencialmente que um administrador acesse metadados de nuvem ou realize pivoteamento na rede interna ao definir a URL para um endereço interno, como http://169.254.169.254/latest/meta-data/.

Recomendações Atualizar para a versão 4.9.6.