PT-2026-146546
CVE-2026-128332
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-14
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Listmonk الإصدارات من 6.0.0 إلى 7.0.0-beta.1
الوصف
توجد ثغرة لتجاوز المصادقة الثنائية (2FA) تسمح للمهاجمين الذين يمتلكون كلمة مرور صالحة بتنفيذ هجوم القوة الغاشمة (brute-force) على رموز كلمة المرور لمرة واحدة والمستندة إلى الوقت (TOTP). يحدث هذا لأن عداد المحاولات يتم إعادة ضبطه عند كل عملية تسجيل دخول جديدة بكلمة المرور. يمكن للمهاجم إرسال بيانات الاعتماد بشكل متكرر إلى نقطة النهاية 'POST /admin/login' للحصول على رموز جديدة، حيث يمنح كل رمز 15 محاولة إضافية، مما قد يؤدي إلى الوصول إلى الحسابات المحمية بالمصادقة الثنائية، بما في ذلك جلسات المسؤول الخارق (Super Admin).
التوصيات
تحديث Listmonk إلى الإصدار 7.0.0-beta.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾