CVE-2026-77353

Nome do Software Vulnerável e Versões Afetadas Wallos versões anteriores a 5.0.0

Description Usuários autenticados podem injetar propriedades e eventos de iCalendar arbitrários em feeds .ics exportados. Isso ocorre porque a camada de validação de entrada codifica metacaracteres HTML, mas não remove sequências CRLF (Carriage Return Line Feed) em nomes ou notas de assinatura. A camada de exportação subsequentemente decodifica essas entidades antes de gravar a saída iCal, permitindo que um invasor saia do bloco VEVENT. Isso possibilita a inserção de eventos de calendário controlados pelo invasor, incluindo organizadores falsificados, endereços de e-mail arbitrários em propriedades ATTENDEE e conteúdo de evento enganoso, que são então processados por qualquer aplicativo de calendário inscrito no feed.

Recommendations Atualizar para a versão 5.0.0.