CVE-2026-73482
Təsvir
phpList 3.7.0-RC5 versiyasından əvvəlki versiyalarda lists/admin/admins.php faylında saytlararası sorğu saxtakarlığı (CSRF) zəifliyi mövcuddur. Administratorun silinməsi hərəkəti, CSRF tokeni ilə qorunmayan autentifikasiya olunmamış GET sorğusu (?page=admins&delete=N) vasitəsilə tetiklenir (mərkəzi verifyCsrfGetToken yoxlaması enforce=false istifadə edir və token parametri olmadıqda yan keçilir). Uzaqdakı hücumçu daxil olmuş super-administratoru xüsusi hazırlanmış URL-ni yükləməyə (məsələn, e-poçtda şəkil kimi yerləşdirilmiş) vadar edərək istənilən digər administrator hesabını silə bilər.
Necə düzəltmək olar
- phplist phplist33.7.0-RC5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| phplist phplist3 | v < 3.7.0-RC5 | 3.7.0-RC5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.