CVE-2016-10033
KrytyczneStreszczenie
Funkcja mailSend w transporcie isMail w PHPMailer przed wersją 5.2.18 może umożliwić zdalnym atakującym przekazywanie dodatkowych parametrów do polecenia mail, co może prowadzić do wykonania dowolnego kodu poprzez wprowadzenie " (backslash podwójny cudzysłów) w odpowiednio skonstruowanej właściwości Sender.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu oraz danych organizacji.
Rekomendacja
Zaleca się aktualizację PHPMailer do wersji 5.2.18 lub nowszej, aby zniwelować tę podatność.
Oryginalny opis (angielski, źródło NVD)
The mailSend function in the isMail transport in PHPMailer before 5.2.18 might allow remote attackers to pass extra parameters to the mail command and consequently execute arbitrary code via a \" (backslash double quote) in a crafted Sender property.