PT-2026-71732
CVE-2026-73481
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-09-24
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات phpList السابقة للإصدار 3.7.0-RC5
الوصف
تحدث هجمات تزوير الطلبات عبر المواقع (CSRF) بسبب فشل التطبيق في فرض التحقق من صحة الرمز المميز (token) على نقاط نهاية حذف قواعد الارتداد ’bouncerules.php‘ و'bouncerule.php'. تُنفَّذ عملية الحذف عبر طلب GET باستخدام المعلمتين
page وdel. يتم استدعاء الدالة verifyCsrfGetToken() مع تعيين المتغير enforce على القيمة false، مما يعني أنه لا يتم التحقق من صحة الرمز المميز إلا إذا تم توفير المعلمة tk بشكل صريح. يمكن لمهاجم عن بُعد خداع مسؤول مُصادق عليه لحمل عنوان URL مُصمم خصيصًا لحذف قواعد الارتداد التعسفية من الجدول phplist bounceregex.التوصيات
تحديث phpList إلى الإصدار 3.7.0-RC5 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾