CVE-2026-61641

Nome do Software Vulnerável e Versões Afetadas Wallos versões 4.0.0 até 4.9.5

Descrição O processo de login OIDC vincula uma identidade OIDC recebida a uma conta local existente correspondendo apenas à reivindicação de e-mail, sem verificar se o Provedor de Identidade (IdP) marcou esse e-mail como verificado (email verified). Quando o Wallos é configurado com um IdP que permite que um usuário apresente um e-mail arbitrário ou não verificado, como IdPs multi-tenant ou IdPs com autorregistro aberto, um invasor sem conta no Wallos pode se autenticar com o e-mail do administrador e acessar o sistema como administrador, resultando em a apropriação total da conta sem a necessidade de senha.

Recomendações Atualizar para a versão 4.9.6.