CVE-2025-58430 in listmonk
الملخص
بحسب VulDB • 29/05/2026
listmonk هو مدير نشرات إخبارية وقوائم بريدية مستقل ومُستضاف ذاتيًا. في الإصدارات حتى 1.1.0 شاملاً، كان كل طلب HTTP يتضمن بالإضافة إلى ملف تعريف الارتباط `session` الخاص بالجلسة، قيمة `nonce`. لا تقوم الخلفية (backend) بفحص أو التحقق من صحة هذه القيمة، مما يسمح بمعالجة الطلبات بشكل صحيح عند إزالة `nonce`. قد يبدو هذا غير ضار، ولكن عند دمجه مع ثغرات أخرى، يمكن أن يتحول إلى ثغرة حرجة. يمكن أن يؤدي دمج تزوير الطلبات عبر المواقع (CSRF) مع التنصت عبر المواقع (XSS) إلى إنشاء غير صحيح لحسابات المسؤول. وفي وقت النشر، لم تكن هناك إصدارات مُصلحة متاحة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.