CVE-2026-73481

Nome do Software Vulnerável e Versões Afetadas phpList versões anteriores a 3.7.0-RC5

Description Ocorre um Cross-Site Request Forgery (CSRF) porque a aplicação falha ao impor a validação de token nos endpoints de exclusão de regras de bounce 'bouncerules.php' e 'bouncerule.php'. O processo de exclusão é executado via requisição GET utilizando os parâmetros page e del. A função verifyCsrfGetToken() é chamada com a variável enforce definida como false, o que significa que o token só é validado se o parâmetro tk for explicitamente fornecido. Um invasor remoto pode enganar um administrador autenticado para carregar uma URL manipulada a fim de excluir regras de bounce arbitrárias da tabela phplist bounceregex.

Recommendations Atualize o phpList para a versão 3.7.0-RC5 ou posterior.