Usa ka corrective release sa GNU Mailman 2.1.35 nga sistema sa pagdumala sa koreo gipatik, gigamit sa pag-organisar sa komunikasyon tali sa mga developers sa lain-laing mga open-source nga mga proyekto. Gitubag sa update ang duha ka mga kahuyangan: Ang una nga pagkahuyang (CVE-2021-42096) nagtugot sa bisan kinsa nga tiggamit nga nag-subscribe sa usa ka mailing list aron mahibal-an ang password sa admin alang sa kana nga lista sa pagpadala. Ang ikaduha nga kahuyang (CVE-2021-42097) nagpaposible sa paghimo sa usa ka CSRF nga pag-atake sa laing mailing list user aron makuha ang iyang account. Ang pag-atake mahimo lamang sa usa ka naka-subscribe nga miyembro sa mailing list. Ang Mailman 3 dili apektado niini nga isyu.
Ang duha ka mga problema tungod sa kamatuoran nga ang csrf_token nga bili nga gigamit sa pagpanalipod batok sa CSRF nga mga pag-atake sa mga opsyon nga panid mao ang kanunay nga sama sa administrator token, ug dili namugna gilain alang sa tiggamit sa kasamtangan nga sesyon. Kung maghimo csrf_token, gigamit ang kasayuran bahin sa hash sa password sa tagdumala, nga nagpasimple sa pagtino sa password pinaagi sa brute force. Tungod kay ang usa ka csrf_token nga gihimo alang sa usa ka tiggamit angay usab alang sa lain nga tiggamit, ang usa ka tig-atake mahimo’g maghimo usa ka panid nga, kung giablihan sa lain nga tiggamit, mahimo’g hinungdan nga ipatuman ang mga mando sa interface sa Mailman alang sa kini nga tiggamit ug makontrol ang iyang account.
Source: opennet.ru