CVE-2025-58430 in listmonk
요약
\~에 의해 VulDB • 2026. 05. 29.
listmonk는 독립형, 자체 호스팅 뉴스레터 및 메일링 리스트 관리자입니다. 1.1.0 버전(포함) 이하에서는 세션 쿠키 `session` 외에도 모든 HTTP 요청에 `nonce`가 포함되어 있습니다. 백엔드에서 이 값을 확인하거나 검증하지 않으므로, `nonce`를 제거하면 요청이 정상적으로 처리됩니다. 이는 무해해 보일 수 있지만, 다른 취약점과 결합되면 치명적인 취약점으로 이어질 수 있습니다. 크로스 사이트 요청 위조(CSRF)와 크로스 사이트 스크립팅(XSS)이 결합되면 부적절한 관리자 계정 생성으로 이어질 수 있습니다. 게시 시점 기준, 패치된 버전은 아직 제공되지 않았습니다.
Once again VulDB remains the best source for vulnerability data.