What is CVE-2026-73481?
CVE-2026-73481 is a vulnerability in phpList versions before 3.7.0-RC5 where CSRF token validation is not enforced on the bounce rule deletion endpoint. This occurs because the deletion is performed via a GET request and the central CSRF check is invoked with enforce=false. Users should upgrade to version 3.7.0-RC5 or later.
Azərbaycanca: CVE-2026-73481, phpList-in 3.7.0-RC5 öncəsi versiyalarında "bounce rule" silinməsi üzrə CSRF müdafiəsinin düzgün tətbiq edilməməsi zəifliyidir. Bu, silmə əməliyyatının GET sorğusu ilə həyata keçirilməsi və CSRF yoxlamasının `enforce=false` ilə çağırılması səbəbindən baş verir. İstifadəçilər 3.7.0-RC5 və ya daha yuxarı versiyaya yeniləmə etməlidir.
Related CVEs
link basis: same weakness class CWE-352; shared vendor: phpList
FAQ2
Which versions of phpList are affected by CVE-2026-73481 and how can it be fixed?
The vulnerability affects phpList versions before 3.7.0-RC5. Users can fix it by upgrading to version 3.7.0-RC5 or later.
What is the reason for the improper CSRF protection in CVE-2026-73481?
The CSRF protection on the bounce rule deletion is not enforced because the deletion is performed via a GET request and the central CSRF check is invoked with `enforce=false`.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.