CVE-2025-58430 in listmonk
Riassunto
di VulDB • 19/06/2026
listmonk è un gestore di newsletter e mailing list autonomo e self-hosted. Nelle versioni fino alla 1.1.0 incluse, ogni richiesta HTTP includeva oltre al cookie di sessione `session` anche il parametro `nonce`. Il valore non viene verificato né convalidato dal backend; la rimozione del campo `nonce` consente l'elaborazione corretta delle richieste. Questo comportamento potrebbe sembrare innocuo, ma se concatenato ad altre vulnerabilità può trasformarsi in una falla critica. La combinazione di Cross-site Request Forgery (CSRF) e Cross-Site Scripting (XSS) può portare alla creazione impropria di account amministrativi. Al momento della pubblicazione, non sono disponibili versioni patchate.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.