Kailash Nadh

Existe uma falha de bypass de 2FA que permite que atacantes com uma senha válida realizem brute-force de códigos Time-based One-Time Password (TOTP). Isso ocorre porque o contador de tentativas é reiniciado a cada novo login de senha. Um atacante pode enviar credenciais repetidamente para o endpoint 'POST /admin/login' para obter novos tokens, onde cada token permite mais 15 tentativas, possibilitando o acesso a contas protegidas por 2FA, incluindo sessões de Super Admin.

Existe um bypass de autenticação na função `doResetPassword()`. O problema permite que a etapa de verificação de TOTP (Senha de Uso Único Baseada em Tempo) seja ignorada após a redefinição de senha. Um invasor que consiga completar o processo de redefinição, por exemplo, lendo o e-mail de redefinição da vítima, pode obter uma sessão totalmente autenticada, incluindo privilégios de Super Admin, sem o código TOTP.

listmonk 6.2.0 before 7.0.0-beta.2 contains a missing authentication vulnerability that allows unauthenticated attackers to submit Azure Event Grid bounce webhooks when no shared secret is configured. Attackers can POST forged EmailDeliveryReportReceived events with Bounced status to /webhooks/service/azure to blocklist, unsubscribe, or delete arbitrary subscribers.