Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en phpList 3.6.3 (CVE-2025-28074)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
08/05/2025
Última modificación:
16/06/2025

Descripción

Las versiones anteriores a phpList 3.6.3 son vulnerables a ataques de cross site scripting (XSS) debido a una depuración incorrecta de la entrada en lt.php. Esta vulnerabilidad se puede explotar cuando la aplicación hace referencia dinámicamente a rutas internas y procesa entradas no confiables sin escapar, lo que permite a un atacante inyectar JavaScript malicioso.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:phplist:phplist:*:*:*:*:*:*:*:* 3.6.15 (excluyendo)