Kailash Nadh

توجد ثغرة لتجاوز المصادقة الثنائية (2FA) تسمح للمهاجمين الذين يمتلكون كلمة مرور صالحة بتنفيذ هجوم القوة الغاشمة (brute-force) على رموز كلمة المرور لمرة واحدة والمستندة إلى الوقت (TOTP). يحدث هذا لأن عداد المحاولات يتم إعادة ضبطه عند كل عملية تسجيل دخول جديدة بكلمة المرور. يمكن للمهاجم إرسال بيانات الاعتماد بشكل متكرر إلى نقطة النهاية 'POST /admin/login' للحصول على رموز جديدة، حيث يمنح كل رمز 15 محاولة إضافية، مما قد يؤدي إلى الوصول إلى الحسابات المحمية بالمصادقة الثنائية، بما في ذلك جلسات المسؤول الخارق (Super Admin).

يوجد تجاوز للمصادقة في الدالة `doResetPassword()`. تسمح هذه المشكلة بتخطي خطوة التحقق من رمز TOTP (كلمة المرور لمرة واحدة والمحددة زمنياً) بعد إعادة تعيين كلمة المرور. يمكن للمهاجم الذي يتمكن من إكمال عملية إعادة التعيين، على سبيل المثال من خلال قراءة بريد إعادة التعيين الخاص بالضحية، الحصول على جلسة مصادقة كاملة، بما في ذلك صلاحيات المسؤول الخارق (Super Admin)، دون الحاجة إلى رمز TOTP.

listmonk 6.2.0 before 7.0.0-beta.2 contains a missing authentication vulnerability that allows unauthenticated attackers to submit Azure Event Grid bounce webhooks when no shared secret is configured. Attackers can POST forged EmailDeliveryReportReceived events with Bounced status to /webhooks/service/azure to blocklist, unsubscribe, or delete arbitrary subscribers.