CVE-2016-10033
CriticalSummary
Funkcja mailSend w transporcie isMail w PHPMailer przed wersją 5.2.18 może umożliwić zdalnym atakującym przekazywanie dodatkowych parametrów do polecenia mail, co może prowadzić do wykonania dowolnego kodu poprzez wprowadzenie " (backslash podwójny cudzysłów) w odpowiednio skonstruowanej właściwości Sender.
Risk Assessment
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu oraz danych organizacji.
Recommendation
Zaleca się aktualizację PHPMailer do wersji 5.2.18 lub nowszej, aby zniwelować tę podatność.
Original NVD description (English source)
The mailSend function in the isMail transport in PHPMailer before 5.2.18 might allow remote attackers to pass extra parameters to the mail command and consequently execute arbitrary code via a \" (backslash double quote) in a crafted Sender property.