Wallos: Gespeichertes Cross-Site-Scripting über Benachrichtigungsdienst-Antworten
Zusammenfassung
Wallos, ein selbst gehosteter Abo-Tracker, enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle im Benachrichtigungs-Cronjob sendnotifications.php. Ein registrierter Benutzer kann eine Mattermost-Webhook-URL oder einen Web-Push-Endpunkt auf einen Server setzen, der JavaScript zurückgibt, und das Skript wird in der Sitzung des Administrators ausgeführt, sobald dieser die Seite öffnet. Die Korrektur ist in Version 5.10.3 enthalten.
Betroffen
- Wallos 4.4.0 bis und mit 5.10.2 (vor 5.10.3)
- Ältere Versionen: Unbekannt.
Behoben in
- Behoben in Wallos 5.10.3 (Fix-Commit 693d8676). Die spätere Version 5.11.1 ist ebenfalls verfügbar.
Umgehung
- Keine vom Hersteller veröffentlichte Umgehungsmassnahme. Bis zur Behebung Benutzerkonten einschränken und Benachrichtigungseinstellungen auf unbekannte Webhook- oder Push-Endpunkte prüfen.
- Den Benachrichtigungs-Cronjob-Endpunkt nicht in einer Browser-Sitzung öffnen, solange nicht vertrauenswürdige Konten Benachrichtigungen konfigurieren können.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- Ein Angriff erfordert ein registriertes Benutzerkonto und dass ein Administrator sendnotifications.php öffnet.
Unsere Empfehlung
- Wallos auf Version 5.10.3 oder neuer aktualisieren (z. B. neueste Version).
- Prüfen, ob Wallos aus dem Internet erreichbar ist, und den Zugriff wo möglich einschränken.
- Benutzerkonten und Benachrichtigungseinstellungen auf unbekannte Webhook- oder Push-Endpunkte prüfen.
- Administrative Cronjob-Endpunkte bis zur Aktualisierung nicht im Browser öffnen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Official advisory (VulnCheck) www.vulncheck.com
- Fix commit 693d8676 github.com
- Wallos release v5.10.3 github.com
- Vulnerable code at v4.4.0 github.com
- Vulnerable code at v5.10.2 github.com
- VulDB entry vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:48.
Referenzen der NVD (5)
- https://github.com/ellite/Wallos/blob/v4.4.0/endpoints/cronjobs/sendnotifications.php#L641-L642
- https://github.com/ellite/Wallos/blob/v5.10.2/endpoints/cronjobs/sendnotifications.php#L813-L816
- https://github.com/ellite/Wallos/commit/693d8676f3e5b0c85e120fc5958ccb82f37ee89c
- https://github.com/ellite/Wallos/releases/tag/v5.10.3
- https://www.vulncheck.com/advisories/wallos-4.4.0-before-5.10.3-stored-xss-via-sendnotifications-php
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.