CVE-2026-128333

Nome do Software Vulnerável e Versões Afetadas listmonk versões 6.0.0 até 7.0.0-beta.1

Descrição Existe um bypass de autenticação na função doResetPassword(). O problema permite que a etapa de verificação de TOTP (Senha de Uso Único Baseada em Tempo) seja ignorada após a redefinição de senha. Um invasor que consiga completar o processo de redefinição, por exemplo, lendo o e-mail de redefinição da vítima, pode obter uma sessão totalmente autenticada, incluindo privilégios de Super Admin, sem o código TOTP.

Recomendações Atualize o listmonk para a versão 7.0.0-beta.2 ou posterior.