CVE-2026-62361

Nome do Software Vulnerável e Versões Afetadas listmonk versões anteriores a 6.2.0

Description O endpoint GET '/api/subscribers/export' não chama a função validateQueryTables ao processar o parâmetro de consulta controlado pelo usuário em QuerySubscribersForExport dentro de internal/core/subscribers.go. Isso permite que um usuário autenticado com as permissões subscribers:sql query e subscribers:get all leia tabelas arbitrárias do banco de dados, como usuários e configurações, e execute CTEs (Common Table Expressions) do PostgreSQL que modificam dados, as quais são conjuntos de resultados temporários usados dentro de uma única instrução SQL.

Recommendations Atualizar para a versão 6.2.0.