Plataforma
php
Componente
wallos
Corrigido em
4.6.2
Uma vulnerabilidade de Server-Side Request Forgery (SSRF) foi descoberta no Wallos, um rastreador de assinaturas auto-hospedado. As versões 4.6.0 e anteriores são afetadas, permitindo que atacantes contornem a validação de IP e acessem recursos internos. A vulnerabilidade reside na função de upload de logo/ícone de assinatura e pagamento, e a correção está disponível na versão 4.6.1.
A exploração bem-sucedida desta vulnerabilidade SSRF permite que um atacante acesse recursos internos que normalmente não seriam acessíveis externamente. Isso inclui, mas não se limita a, metadados de instâncias de nuvem, que podem conter informações confidenciais como chaves de API, credenciais de acesso e outros dados sensíveis. Um atacante pode usar essa informação para escalar privilégios, comprometer a infraestrutura subjacente e obter acesso não autorizado a dados confidenciais. A capacidade de realizar redirecionamentos HTTP (CURLOPT_FOLLOWLOCATION = true) contorna a validação de IP, tornando a exploração mais fácil.
Esta vulnerabilidade foi divulgada em 2026-02-21. Não há informações disponíveis sobre exploração ativa ou a inclusão no KEV (CISA Known Exploited Vulnerabilities) no momento da redação. A existência de redirecionamentos HTTP torna a exploração relativamente simples, e a natureza sensível dos dados potencialmente acessíveis aumenta o risco.
Organizations utilizing Wallos for subscription tracking, particularly those hosting the application on cloud platforms like AWS, Azure, or Google Cloud, are at risk. Shared hosting environments where Wallos is installed alongside other applications could also be vulnerable, as a compromise of one application could potentially lead to exploitation of this SSRF vulnerability.
• php: Examine Wallos application logs for unusual outbound HTTP requests, particularly those involving redirects to internal IP addresses or cloud metadata endpoints.
grep 'redirect' /var/log/apache2/access.log | grep '169.254' • generic web: Monitor access logs for requests to the logo upload endpoint with suspicious URL parameters.
curl -I 'http://your-wallos-instance/upload_logo.php?url=http://evil.com/redirect' • generic web: Check response headers for signs of internal resource exposure.
curl -I 'http://your-wallos-instance/upload_logo.php?url=http://169.254.169.254/latest/meta-data/'disclosure
Status do Exploit
EPSS
0.03% (percentil 10%)
CISA SSVC
Vetor CVSS
A mitigação primária é atualizar o Wallos para a versão 4.6.1, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar workarounds. Desative temporariamente a funcionalidade de upload de logo/ícone de assinatura e pagamento. Implemente regras de firewall ou proxy para restringir o acesso a recursos internos a partir do Wallos. Monitore logs de acesso e erros em busca de atividades suspeitas, como solicitações para endpoints inesperados ou metadados de instâncias de nuvem.
Atualize Wallos para a versão 4.6.1 ou superior. Esta versão corrige a vulnerabilidade SSRF ao validar corretamente os redirecionamentos HTTP ao obter logotipos e ícones de assinaturas e pagamentos.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2026-27479 is a Server-Side Request Forgery vulnerability in Wallos versions 4.6.0 and below, allowing attackers to bypass IP validation and access internal resources.
You are affected if you are running Wallos version 4.6.0 or earlier. Upgrade to version 4.6.1 to mitigate the vulnerability.
Upgrade Wallos to version 4.6.1. As a temporary workaround, implement WAF rules to block suspicious URLs and restrict outbound connections.
There are currently no confirmed reports of active exploitation, but the vulnerability is publicly known.
Refer to the Wallos project's official website and security advisories for the latest information: [https://wallos.dev/security](https://wallos.dev/security)
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.