PHPMailer contient une vulnérabilité d'injection de commandes car il ne parvient pas à assainir les entrées fournies par l'utilisateur. Spécifiquement, ce problème affecte la fonction 'mail()' du script 'class.phpmailer.php'. Un attaquant peut exploiter ce problème pour exécuter du code arbitraire dans le contexte de l'application. Les tentatives d'exploitation échouées entraîneront une condition de déni de service.
Action requise :Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.
D’après la NVD et la GitHub Advisory Database. Vérifiez toujours l’avis de l’éditeur, qui fait foi.
Type de faiblesse
Mauvaise neutralisation des délimiteurs d'arguments dans une commande (CWE-88) : Le produit construit une chaîne pour une commande exécutée par un composant séparé dans une autre sphère de contrôle, mais il ne délimite pas correctement les arguments, options ou commutateurs prévus dans cette chaîne de commande.
Chronologie
— Publication de la CVE
— Exploitation confirmée : ajout au catalogue KEV de la CISA
— Échéance de correction pour les agences fédérales américaines
Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), GitHub Advisory Database (CC BY 4.0), CWE (MITRE). Données mises à jour automatiquement.
Texte original de la CISA (anglais)
PHPMailer Command Injection Vulnerability
PHPMailer contains a command injection vulnerability because it fails to sanitize user-supplied input. Specifically, this issue affects the 'mail()' function of 'class.phpmailer.php' script. An attacker can exploit this issue to execute arbitrary code within the context of the application. Failed exploit attempts will result in a denial-of-service condition.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.