CVE-2026-92806
WysokieCVSS 8.1Streszczenie
phpList w wersjach przed 3.6.17 nie waliduje tokenów CSRF w handlerze formularza masowego usuwania subskrybentów. Atakujący może nakłonić zalogowanego administratora do odwiedzenia spreparowanej strony, która po cichu usuwa i blokuje dowolne adresy subskrybentów bez weryfikacji uwierzytelnienia.
Ocena ryzyka
Pozwala to na nieautoryzowane usunięcie i zablokowanie subskrybentów, co może prowadzić do utraty danych i zakłócenia komunikacji mailingowej organizacji.
Rekomendacja
Zaktualizuj phpList do wersji 3.6.17 lub nowszej. Dodatkowo rozważ wdrożenie dodatkowych zabezpieczeń CSRF i szkolenie administratorów w zakresie phishingu.
Inne podatności w phpList
Zobacz wszystkie- CVE-2026-73482Wysokie
phpList przed wersją 3.7.0-RC5 zawiera podatność CSRF w lists/admin/admins.php. Akcja usuwania administratora jest wyzwalana przez nieuwierzytelnione żądanie GET (?page=admins&delete=N), które nie jest chronione tokenem CSRF (centralny verifyCsrfGetToken używa enforce=false i jest pomijany, gdy parametr tokenu jest nieobecny). Zdalny atakujący może nakłonić zalogowanego super-administratora do załadowania spreparowanego URL (np. osadzonego jako obraz w e-mailu), aby usunąć dowolne konto administratora inne niż własne.
- CVE-2026-73481Średnie
phpList przed wersją 3.7.0-RC5 nie egzekwuje walidacji tokenu CSRF na punkcie końcowym usuwania reguł odrzuceń (bouncerules.php / bouncerule.php). Usuwanie odbywa się przez żądanie GET (?page=bouncerules&del=N), a centralna kontrola CSRF (verifyCsrfGetToken) jest wywoływana z enforce=false, więc token jest sprawdzany tylko wtedy, gdy parametr 'tk' jest obecny. Zdalny atakujący może nakłonić uwierzytelnionego administratora do załadowania spreparowanego URL (np. w tagu obrazka), aby usunąć dowolne reguły odrzuceń z tabeli phplist_bounceregex bez ważnego tokenu CSRF.
Oryginalny opis (angielski, źródło NVD)
phpList versions before 3.6.17 fail to validate cross-site request forgery tokens in the mass subscriber removal form handler. Attackers can induce logged-in administrators to visit crafted pages that silently delete and blacklist arbitrary subscriber addresses without authentication verification.