mlniumm/cve-2025-28073
[Descripción sugerida] phpList 3.6.3 es vulnerable a Cross-Site Scripting (XSS) reflejado a través del endpoint /lists/dl.php. Un atacante puede inyectar código JavaScript arbitrario manipulando el parámetro id, que no está saneado adecuadamente.
[Tipo de vulnerabilidad] Cross Site Scripting (XSS)
[Proveedor del producto] phpList
[Base de código del producto afectado] phpList - 3.6.15 (y posiblemente versiones anteriores)
[Componente afectado] phpList /lists/dl.php, phpList 3.6.15 (y posiblemente versiones anteriores)
[Tipo de ataque] Remoto
[Otro impacto del CVE] Secuestro de sesión, Robo de credenciales, Ataques de phishing, Ejecución arbitraria de JavaScript
[Vectores de ataque] Esta vulnerabilidad es explotable a través de una URL manipulada que contiene código JavaScript malicioso. Un atacante remoto puede engañar a una víctima para que haga clic en un enlace especialmente diseñado que contenga un payload XSS. Cuando la víctima accede al endpoint vulnerable /lists/dl.php, el payload se ejecuta en el contexto de su navegador. Esto puede permitir al atacante robar cookies de sesión, realizar acciones en nombre de la víctima o inyectar contenido malicioso en la instancia de phpList afectada.
[Referencia]
https://github.com/phpList/phplist3
[Descubridor] Pattharadech Soponrat
