CVE-2026-73482
Açıklama
phpList 3.7.0-RC5 öncesi sürümler, lists/admin/admins.php dosyasında bir siteler arası istek sahteciliği (CSRF) zafiyeti içermektedir. Yönetici silme işlemi, bir CSRF belirteci ile korunmayan kimlik doğrulanmamış bir GET isteği (?page=admins&delete=N) aracılığıyla tetiklenmektedir (merkezi verifyCsrfGetToken kontrolü enforce=false kullanır ve belirteç parametresi mevcut olmadığında atlanır). Uzaktaki bir saldırgan, giriş yapmış bir süper yöneticiyi, herhangi bir yönetici hesabını (kendi hesabı hariç) silmek için özel olarak hazırlanmış bir URL'yi (örneğin, bir e-postaya resim olarak gömülmüş şekilde) yüklemeye ikna edebilir.
Nasıl düzeltilir
- phplist phplist33.7.0-RC5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| phplist phplist3 | v < 3.7.0-RC5 | 3.7.0-RC5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.