CVE-2026-73482 in phpList
Resumen
por VulDB • 2026-08-13
phpList anterior a la versión 3.7.0-RC5 contiene una vulnerabilidad de falsificación de solicitudes entre sitios (CSRF, por sus siglas en inglés) en lists/admin/admins.php. La acción de eliminación del administrador se activa mediante una solicitud GET no autenticada (?page=admins&delete=N) que no está protegida por un token CSRF (la verificación central verifyCsrfGetToken utiliza enforce=false y puede ser eludida cuando falta el parámetro token). Un atacante remoto puede engañar a un superadministrador conectado para que cargue una URL manipulada (por ejemplo, incrustada como imagen en un correo electrónico) con el fin de eliminar cualquier cuenta de administrador distinta a la propia.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.