Descripción
PHPMailer contiene una vulnerabilidad de inyección de comandos porque no sanitiza la entrada proporcionada por el usuario. En concreto, este problema afecta a la función 'mail()' del script 'class.phpmailer.php'. Un atacante puede explotar este problema para ejecutar código arbitrario en el contexto de la aplicación. Los intentos fallidos de explotación provocarán una condición de denegación de servicio (DoS).
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Esta vulnerabilidad podría afectar a un componente de código abierto, biblioteca de terceros, protocolo o implementación propietaria que podría ser utilizado por distintos productos. Para más información, consulte github.com/PHPMailer/PHPMailer/releases/tag/v5.2.18
- Aviso de github.com github.com/advisories/GHSA-5f37-gxvh-23v6
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2016-10033
Ver el texto original en inglés (CISA)
PHPMailer Command Injection Vulnerability
PHPMailer contains a command injection vulnerability because it fails to sanitize user-supplied input. Specifically, this issue affects the 'mail()' function of 'class.phpmailer.php' script. An attacker can exploit this issue to execute arbitrary code within the context of the application. Failed exploit attempts will result in a denial-of-service condition.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: This vulnerability could affect an open-source component, third-party library, protocol, or proprietary implementation that could be used by different products. For more information, please see: https://github.com/PHPMailer/PHPMailer/releases/tag/v5.2.18 ; https://github.com/advisories/GHSA-5f37-gxvh-23v6 ; https://nvd.nist.gov/vuln/detail/CVE-2016-10033
Otras vulnerabilidades de PHP en el catálogo
- CVE-2019-11043 PHP FastCGI Process Manager (FPM) Buffer Overflow Vulnerability Alta 25-03-2022
- CVE-2012-1823 PHP-CGI Query String Parameter Vulnerability Alta 25-03-2022