CVE-2026-21483
Açıklama
listmonk; bağımsız, kendi sunucunuzda barındırabileceğiniz bir bülten ve e-posta listesi yöneticisidir. Versiyon 6.0.0 öncesinde, kampanya yönetimi izinlerine sahip düşük yetkili kullanıcılar, kampanyalara veya şablonlara kötü amaçlı JavaScript enjekte edebilir. Daha yüksek yetkili bir kullanıcı (Super Admin) bu içeriği görüntülediğinde veya önizleme yaptığında, XSS kullanıcının tarayıcı bağlamında çalışarak saldırganın arka kapı yönetici hesapları oluşturmak gibi ayrıcalıklı işlemler gerçekleştirmesine olanak tanır. Saldırı, kurbanların sadece bir bağlantıyı ziyaret etmesinin yeterli olduğu (önizleme tıklaması gerekmeyen) genel arşiv özelliği üzerinden gerçekleştirilebilir. Versiyon 6.0.0 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- nadh listmonk6.0.0 ya da sonraki bir sürüm
- github.com/knadh/listmonk6.0.0, 1.1.1-0.20251231125615-74dc5a01cfbb ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nadh listmonk | v < 6.0.0 | 6.0.0 |
| github.com/knadh/listmonkGo | 1.1.1 ≤ v < 6.0.0, v < 1.1.1-0.20251231125615-74dc5a01cfbb | 6.0.0, 1.1.1-0.20251231125615-74dc5a01cfbb |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.