CVE-2026-30841
mediumPriorität · verfolgen · 24EPSS 0.003 · 22. PerzentilEUUSEPSS · bewertet 2026-10-27
Wallos is an open-source, self-hostable personal subscription tracker. Prior to version 4.6.2, passwordreset.php outputs $_GET["token"] and $_GET["email"] directly into HTML input value attributes using <?= $token ?> and <?= $email ?> without calling htmlspecialchars(). This allows reflected XSS by breaking out of the attribute context. This issue has been patched in version 4.6.2.
cvss
Technischer Schweregrad, 0–10. Eine Zeile je Quelle.
Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · low–medium · 2.7–6.9
SSVC
Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.
schwächen
Die CWE-Schwächeklassen, zu denen dies gehört.
betroffene Produkte (2)
Betroffene Produkte und Versionsbereiche.
auch bekannt als (2)
Weitere Namen und Kennungen dieser Entität.
quellen
Welche Quellen diesen Datensatz belegen und wann.
Referenzen (10)
Externe Belege — Patches, Meldungen, Analysen.
- https://github.com/ellite/Wallos/commit/e8a513591dbbf885966e2ef55c38622785b9060dcnnvd
- https://github.com/ellite/Wallos/releasesPatchcnnvd
- https://github.com/ellite/Wallos/releases/tag/v4.6.2cnnvd
- https://github.com/ellite/Wallos/security/advisories/GHSA-75hc-fc26-9797cnnvd
- https://github.com/ellite/Wallos/commit/e8a513591dbbf885966e2ef55c38622785b9060denisa_euvd
- https://github.com/ellite/Wallos/releases/tag/v4.6.2enisa_euvd
- https://github.com/ellite/Wallos/security/advisories/GHSA-75hc-fc26-9797enisa_euvd
- https://github.com/ellite/Wallos/commit/e8a513591dbbf885966e2ef55c38622785b9060dPatchnvd
Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan