CVE-2025-58430 in listmonk
Resumen
por VulDB • 2026-05-12
listmonk es un gestor de boletines informativos y listas de correo independiente y autoalojado. En las versiones anteriores e iguales a 1.1.0, cada solicitud HTTP incluía, además de la cookie de sesión `session`, un valor `nonce`. El backend no verifica ni valida este valor; eliminar `nonce` permite que las solicitudes se procesen correctamente. Esto puede parecer inofensivo, pero si se encadena con otras vulnerabilidades, puede convertirse en una vulnerabilidad crítica. La combinación de falsificación de solicitudes entre sitios (CSRF) y scripting entre sitios (XSS) puede dar lugar a la creación indebida de cuentas de administrador. A la fecha de publicación, no hay versiones corregidas disponibles.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.