PT-2026-146546
CVE-2026-128332
·
Publicado
2026-11-13
·
Atualizado
2026-11-14
Descrição por
CVSS 3.1
7.4
AltaMétricasAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
Nome do Software Vulnerável e Versões Afetadas
Listmonk versões 6.0.0 até 7.0.0-beta.1
Descrição
Existe uma falha de bypass de 2FA que permite que atacantes com uma senha válida realizem brute-force de códigos Time-based One-Time Password (TOTP). Isso ocorre porque o contador de tentativas é reiniciado a cada novo login de senha. Um atacante pode enviar credenciais repetidamente para o endpoint 'POST /admin/login' para obter novos tokens, onde cada token permite mais 15 tentativas, possibilitando o acesso a contas protegidas por 2FA, incluindo sessões de Super Admin.
Recomendações
Atualize o Listmonk para a versão 7.0.0-beta.2.
Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾