CVE-2026-77352

Nome do Software Vulnerável e Versões Afetadas Wallos versões 2.0.0 through 4.x

Description Usuários autenticados podem forçar o servidor a estabelecer conexões SMTP externas arbitrárias para endereços internos ou link-local. Isso ocorre porque o endpoint de configurações de notificação por usuário 'endpoints/notifications/saveemailnotifications.php' não realiza a validação de Server-Side Request Forgery (SSRF)—uma falha onde um invasor induz o servidor a fazer requisições para um local não pretendido. O cron de notificação 'endpoints/cronjobs/sendnotifications.php' então passa a variável smtpAddress controlada pelo usuário diretamente para a propriedade $mail->Host do PHPMailer. Quando uma notificação de assinatura é disparada, o servidor se conecta ao host e porta especificados.

Recommendations Atualizar para a versão 5.0.0.