CVE-2026-77136
KrytyczneCVSS 9.5Streszczenie
Rozszerzenie przekazuje surową wartość pola formularza skonfigurowanego jako "To pole zawiera nazwę nadawcy" bezpośrednio do widoku Fluid jako źródło szablonu, bez żadnej sanityzacji, i renderuje je. Anonimowy, nieuwierzytelniony użytkownik może przesłać składnię szablonu Fluid w tym polu, aby wykonać dowolne ViewHelpery Fluid, co prowadzi do ujawnienia konfiguracji serwera, zmiennych środowiskowych i kodu źródłowego aplikacji, a potencjalnie do zdalnego wykonania kodu. Eksploatacja wymaga jedynie, aby pole formularza było skonfigurowane jako pole sender_name, co jest powszechną i domyślnie zbliżoną konfiguracją Powermail. Nie jest wymagane uwierzytelnienie ani interakcja użytkownika poza normalnym wysłaniem formularza. Podatność jest podobno aktywnie wykorzystywana w środowisku naturalnym.
Ocena ryzyka
Atakujący może uzyskać wrażliwe informacje o serwerze i aplikacji, a w niektórych przypadkach wykonać zdalny kod, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Należy natychmiast zaktualizować rozszerzenie Powermail do wersji zawierającej poprawkę oraz sprawdzić, czy nie doszło do wykorzystania luki.
Oryginalny opis (angielski, źródło NVD)
The extension passes the raw value of a form field configured as "This field contains the name of the sender" directly into a Fluid View as template source, without any sanitization, and renders it. An anonymous, unauthenticated user can submit Fluid template syntax in that field to execute arbitrary Fluid ViewHelpers leading to disclosure of server configuration, environment variables and application source, and potentially remote code execution. Exploitation requires only that a form field is configured as the sender_name field, a common and default-adjacent Powermail configuration. No authentication or user interaction beyond a normal form submission is required. This vulnerability is reported to be actively exploited in the wild.