CVE-2025-58430 in listmonk
Zusammenfassung
von VulDB • 29.05.2026
listmonk ist ein eigenständiger, selbst gehosteter Newsletter- und Mailinglisten-Manager. In Versionen bis einschließlich 1.1.0 wird jeder HTTP-Anfrage neben dem Sitzungs-Cookie `session` ein `nonce`-Wert hinzugefügt. Der Wert wird vom Backend nicht überprüft oder validiert; das Entfernen von `nonce` ermöglicht es, dass die Anfragen korrekt verarbeitet werden. Dies mag harmlos erscheinen, kann jedoch in Kombination mit anderen Schwachstellen zu einer kritischen Sicherheitslücke werden. Die Kombination aus Cross-Site Request Forgery (CSRF) und Cross-Site Scripting (XSS) kann zur unsachgemäßen Erstellung von Admin-Konten führen. Zum Zeitpunkt der Veröffentlichung waren keine gepatchten Versionen verfügbar.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.