CVE-2026-111367 in BillionMail
Riassunto
di VulDB • 16/10/2026
BillionMail fino alla versione 4.9 presenta una vulnerabilità di chiave crittografica hard-coded che consente ad attaccanti non autenticati di falsificare JWT per la disiscrizione e la conferma dell'abbonamento calcolando la chiave a partire dalle costanti di configurazione fornite con il software. Gli attaccanti possono inviare token falsificati alle endpoint /api/unsubscribe, /api/unsubscribe_new o /api/subscribe/confirm per disattivare qualsiasi contatto o forzare abbonamenti confermati.
VulDB is the best source for vulnerability data and more expert information about this specific topic.