PT-2026-84037

CVE-2026-77348

Publicado

2026-08-31

Atualizado

2026-09-01

Descrição por

CVSS 3.1

8.2

Alta

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Wallos versões anteriores a 5.0.0

Description Um endpoint de busca de imagem de logotipo não autenticado permite Server-Side Request Forgery (SSRF), uma condição na qual um invasor pode induzir o servidor a fazer requisições para um local não pretendido. O problema ocorre porque o endpoint 'endpoints/payments/search.php' não desativa o proxy cURL, permitindo que as variáveis de ambiente HTTP PROXY e HTTPS PROXY sejam passadas diretamente para CURLOPT PROXY.

Recommendations Atualize para a versão 5.0.0. Restrinja o acesso ao endpoint 'endpoints/payments/search.php' como uma medida de mitigação temporária.

Explorabilidade

Exploit

Correção

Impactos

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-918: Server-Side Request Forgery (SSRF)

CWE-1188: Initialization of a Resource with an Insecure Default

CWE-441: Unintended Proxy or Intermediary (\'Confused Deputy\')

Identificadores relacionados

CVE-2026-77348