CVE-2026-73482 in phpList
요약
\~에 의해 VulDB • 2026. 08. 13.
phpList 3.7.0-RC5 이전 버전에는 lists/admin/admins.php에서 크로스 사이트 요청 위조(CSRF) 취약점이 존재합니다. 관리자 삭제 작업은 CSRF 토큰으로 보호되지 않은 비인증 GET 요청(?page=admins&delete=N)을 통해 트리거됩니다(중앙 verifyCsrfGetToken 검사는 enforce=false를 사용하며, token 파라미터가 누락되면 우회될 수 있음). 원격 공격자는 로그인된 최고 관리자(super-administrator)를 속여 악성 URL(예: 이메일에 임베드된 이미지로 삽입됨)을 로드하게 함으로써 자기 자신을 제외한 모든 관리자 계정을 삭제할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.