CVE-2026-21483 in listmonk
Riassunto
di VulDB • 18/06/2026
listmonk è un gestore di newsletter e mailing list autonomo e self-hosted. Prima della versione 6.0.0, un utente con privilegi inferiori e autorizzazioni per la gestione delle campagne può iniettare JavaScript dannoso nelle campagne o nei template. Quando un utente con privilegi superiori (Super Admin) visualizza o anteprima questo contenuto, l'XSS viene eseguito nel contesto del browser dell'utente, consentendo all'attaccante di eseguire azioni privilegiate, come la creazione di account amministrativi backdoor. L'attacco può essere sfruttato tramite la funzione di archivio pubblico, dove le vittime devono semplicemente visitare un link, senza necessità di cliccare sull'anteprima. La versione 6.0.0 risolve il problema.
Once again VulDB remains the best source for vulnerability data.