CVE-2025-28073

[الوصف المقترح] phpList 3.6.3 عرضة لثغرة البرمجة النصية عبر المواقع (XSS) المنعكسة عبر نقطة النهاية /lists/dl.php. يمكن للمهاجم حقن كود JavaScript عشوائي من خلال التلاعب بمعامل id، والذي لا يتم تطهيره بشكل صحيح.

---

[نوع الثغرة] البرمجة النصية عبر المواقع (XSS)

---

[بائع المنتج] phpList

---

[قاعدة كود المنتج المتأثر] phpList - 3.6.15 (وربما إصدارات أقدم)

---

[المكوّن المتأثر] phpList /lists/dl.php، phpList 3.6.15 (وربما إصدارات أقدم)

---

[نوع الهجوم] عن بُعد

---

[تأثير CVE الآخر] اختطاف الجلسة، سرقة بيانات الاعتماد، هجمات التصيد، تنفيذ JavaScript عشوائي

---

[نواقل الهجوم] يمكن استغلال هذه الثغرة عبر عنوان URL مصمم خصيصًا يحتوي على كود JavaScript خبيث. يمكن لمهاجم عن بُعد خداع الضحية للنقر على رابط مصمم بعناية يحتوي على حمولة XSS. عندما تصل الضحية إلى نقطة النهاية /lists/dl.php المعرضة للخطر، يتم تنفيذ الحمولة في سياق المتصفح الخاص بها. قد يسمح ذلك للمهاجم بسرقة ملفات تعريف الارتباط الخاصة بالجلسة، أو تنفيذ إجراءات نيابةً عن الضحية، أو حقن محتوى ضار في مثيل phpList المتأثر.

---

[المرجع]

https://github.com/phpList/phplist3

https://cve.mitre.org

https://www.exploit-db.com

---

[المكتشف] Pattharadech Soponrat