CVE-2026-73481
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
phpList przed wersją 3.7.0-RC5 nie egzekwuje walidacji tokenu CSRF na punkcie końcowym usuwania reguł odrzuceń (bouncerules.php / bouncerule.php). Usuwanie odbywa się przez żądanie GET (?page=bouncerules&del=N), a centralna kontrola CSRF (verifyCsrfGetToken) jest wywoływana z enforce=false, więc token jest sprawdzany tylko wtedy, gdy parametr 'tk' jest obecny. Zdalny atakujący może nakłonić uwierzytelnionego administratora do załadowania spreparowanego URL (np. w tagu obrazka), aby usunąć dowolne reguły odrzuceń z tabeli phplist_bounceregex bez ważnego tokenu CSRF.
Ocena ryzyka
Atakujący może usunąć ważne reguły odrzuceń, co może prowadzić do dostarczania niechcianych wiadomości lub naruszenia integralności konfiguracji systemu.
Rekomendacja
Zaktualizuj phpList do wersji 3.7.0-RC5 lub nowszej oraz rozważ wymuszenie walidacji tokenu CSRF dla wszystkich żądań GET.
Oryginalny opis (angielski, źródło NVD)
phpList before 3.7.0-RC5 fail to enforce CSRF token validation on the bounce rule deletion endpoint (bouncerules.php / bouncerule.php). The deletion is performed via a GET request (?page=bouncerules&del=N), and the central CSRF check (verifyCsrfGetToken) is invoked with enforce=false, so it only validates the token when a 'tk' parameter is present. A remote attacker can trick an authenticated administrator into loading a crafted URL (e.g., embedded in an image tag) to delete arbitrary bounce rules from the phplist_bounceregex table without a valid CSRF token.