CVE-2026-73482

Nome do Software Vulnerável e Versões Afetadas phpList versões anteriores a 3.7.0-RC5

Description Um problema de cross-site request forgery (CSRF) existe no endpoint 'lists/admin/admins.php'. A ação de exclusão de administrador é acionada via uma requisição GET usando o parâmetro delete que carece de proteção por token CSRF. Isso ocorre porque a função verifyCsrfGetToken() utiliza enforce=false, permitindo que a verificação seja ignorada se o parâmetro do token estiver ausente. Um invasor remoto pode enganar um super-administrador autenticado para carregar uma URL manipulada a fim de excluir qualquer conta de administrador, exceto a sua própria.

Recommendations Atualize para a versão 3.7.0-RC5 ou posterior.