Podatność w bibliotece PHPMailer przed wersją 5.2.18 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu na serwerze (RCE) bez uwierzytelnienia. Zagrożenie dotyczy aplikacji opartych na PHPMailer, w tym WordPress i Joomla!, i jest aktywnie wykorzystywane w atakach.
▸ Pokaż oryginał (EN)
The mailSend function in the isMail transport in PHPMailer before 5.2.18 might allow remote attackers to pass extra parameters to the mail command and consequently execute arbitrary code via a \" (backslash double quote) in a crafted Sender property.
Funkcja mailSend w transporterze isMail nieprawidłowo sanityzuje właściwość Sender przed przekazaniem jej do wywołania systemowego polecenia mail. Atakujący może umieścić w tej właściwości specjalnie spreparowany ciąg zawierający sekwencję backslash + cudzysłów (\" ), co pozwala na wstrzyknięcie dodatkowych parametrów do polecenia mail. W ten sposób możliwe jest wykonanie dowolnych poleceń systemowych w kontekście procesu serwera WWW.
Atakujący może wykonać dowolny kod na serwerze bez żadnego uwierzytelnienia, co prowadzi do pełnego przejęcia kontroli nad aplikacją i potencjalnie całym systemem operacyjnym.
Należy niezwłocznie zaktualizować PHPMailer do wersji 5.2.18 lub nowszej. W przypadku WordPress i Joomla! należy zaktualizować wtyczki i komponenty korzystające z PHPMailer oraz zastosować patche dostępne u producentów zgodnie z referencjami.
PHPMailer przed wersją 5.2.18 oraz aplikacje korzystające z tej biblioteki, w tym WordPress i Joomla!
Dostępny jest publiczny moduł exploit w Rapid7 Metasploit (exploit/multi/http/phpmailer_arg_injection) oraz opublikowane analizy techniczne na Packet Storm Security i Full Disclosure.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HJoomla Joomla\!
APPJoomla1.5.0 – 3.6.5Phpmailer Project Phpmailer
APPPhpmailer Project< 5.2.18WordPress
APPWordpress≤ 4.7
CISA KEV — szczegółyi
- Dostawcai
- PHP
- Produkti
- PHPMailer
- Data dodania do KEVi
- 7 lipca 2025
- Termin remediation (USA)i
- 28 lipca 2025(po terminie)
Zastosuj mitygacje zgodnie z instrukcjami producenta, postępuj zgodnie z wytycznymi BOD 22-01 dla usług w chmurze lub zaprzestań używania produktu, jeśli mitygacje są niedostępne.
▸ Pokaż oryginał (EN)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
PHPMailer zawiera lukę command injection, ponieważ nie neutralizuje danych wejściowych dostarczonych przez użytkownika. W szczególności problem dotyczy funkcji 'mail()' skryptu 'class.phpmailer.php'. Atakujący może wykorzystać tę lukę do wykonania arbitralnego kodu w kontekście aplikacji. Nieudane próby exploitacji mogą prowadzić do warunku denial-of-service.
▸ Pokaż oryginał (EN)
PHPMailer contains a command injection vulnerability because it fails to sanitize user-supplied input. Specifically, this issue affects the 'mail()' function of 'class.phpmailer.php' script. An attacker can exploit this issue to execute arbitrary code within the context of the application. Failed exploit attempts will result in a denial-of-service condition.
Powiązane podatności
WordPress: RCE przez route confusion w REST API i SQL Injection
Joomla! — degradacja szyfrowania transportu w linkach resetowania hasła i nazwy użytkownika
SQL injection w metodzie quoteNameStr pakietu bazy danych Joomla Framework
Joomla! — cache poisoning przez dowolne parametry w paginacji
Joomla! 4.x — manipulacja danymi wejściowymi przez JInput (variable tampering)