PHPMailer < 5.2.18 的版本，都有 Remote Code Execution (CVE-2016-10033) 的安全性漏洞，請盡快升級到 5.2.18 以上的版本。請升級到 5.2.20 以上的版本。
- 註：詳細的攻擊方式、程式還沒有公開，讓大家有時間可以趕快升級套件~
- 註：5.2.19 也會被繞過去，所以需要升級到 5.2.20 以上
PHPMailer 升級到 5.2.18 解決安全性問題
PHPMailer 被各方套件使用的非常廣泛，WordPress、Drupal、SugarCRM、Yii、Joomla... 都有使用，這次的問題似乎蠻嚴重的，能升級就盡快動手吧！
- PHPMailer Source code：GitHub - PHPMailer/PHPMailer: The classic email sending library for PHP
由 Legal/ethical hacking 提報的安全性問題，詳細可見：
- PHPMailer-Exploit-Remote-Code-Exec-CVE-2016-10033-Vuln
- To exploit the vulnerability an attacker could target common website components such as contact/feedback forms, registration forms, password email resets and others that send out emails with the help of a vulnerable version of the PHPMailer class.
安全性說明、PoC 釋出：(由寄件者的變數來進行攻擊)
- PHPMailer-Exploit-Remote-Code-Exec-CVE-2016-10033-Vuln
- PoC：PHPMailer Exploit - Video PoC
- Check that sendmail path exists before trying to use it · PHPMailer/PHPMailer@4835657
相關新聞
- Critical PHPMailer Flaw leaves Millions of Websites Vulnerable to Remote Exploit
- oss-sec: PHPMailer < 5.2.18 Remote Code Execution [CVE-2016-10033]
- CVE-2016-10033
- CVE-2016-10033 | Hackaday
- PHPMailer < 5.2.18 Remote Code Execution（CVE-2016-10033）
Save
Save
Save