listmonkの2FA回避の脆弱性2件、修正版あり
Summary
listmonk 6.0.0から7.0.0-beta.2未満の管理画面で、TOTPによる2段階認証を回避される脆弱性が2件公表されました。運用中の組織は版を確認し、7.0.0-beta.2以降へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
listmonk 6.0.0から7.0.0-beta.2未満の管理画面で、TOTPによる2段階認証を回避される脆弱性が2件公表されました。運用中の組織は版を確認し、7.0.0-beta.2以降へ更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| knadhlistmonk |
≥ 6.0.0, < 7.0.0-beta.2→ 7.0.0-beta.2 |
7.0.0-beta.2 |
Original description The description as published by the source.
listmonk 6.0.0 before 7.0.0-beta.2 contains an authentication bypass vulnerability in doResetPassword that skips TOTP verification after a password reset. Attackers who can complete a reset, such as by reading the victim's reset email, obtain fully authenticated sessions including Super Admin without the TOTP code.
Source: CVE.org (CVE Program・cvelistV5) NVD