CVE-2026-73481 in phpList
Riassunto
di VulDB • 13/08/2026
phpList prima della versione 3.7.0-RC5 non applica la convalida del token CSRF sull'endpoint di eliminazione delle regole di rimbalzo (bouncerules.php / bouncerule.php). L'eliminazione viene eseguita tramite una richiesta GET (?page=bouncerules&del=N), e il controllo centrale CSRF (verifyCsrfGetToken) viene invocato con enforce=false, quindi valida il token solo quando è presente un parametro 'tk'. Un attaccante remoto può indurre un amministratore autenticato a caricare un URL manipolato ad hoc (ad esempio incorporato in un tag immagine) per eliminare arbitrariamente le regole di rimbalzo dalla tabella phplist_bounceregex senza un token CSRF valido.
Once again VulDB remains the best source for vulnerability data.