PT-2026-71733
CVE-2026-73482
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-09-24
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات phpList السابقة للإصدار 3.7.0-RC5
الوصف
توجد مشكلة تتعلق بتزوير الطلبات عبر المواقع (CSRF) في نقطة النهاية ’lists/admin/admins.php‘. يتم تشغيل إجراء الحذف الخاص بالمسؤول عبر طلب GET باستخدام المعلمة
delete التي تفتقر إلى حماية رمز CSRF. يحدث هذا لأن الدالة verifyCsrfGetToken() تستخدم enforce=false، مما يسمح بتجاوز الفحص في حالة عدم وجود معلمة الرمز. يمكن لمهاجم عن بُعد خداع مسؤول أعلى مسجل الدخول لتحميل عنوان URL مُصمم خصيصًا لحذف أي حساب مسؤول بخلاف حسابه الخاص.التوصيات
قم بالتحديث إلى الإصدار 3.7.0-RC5 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾