CVE-2016-10033
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
PHPMailer tiene una falla en la función de envío de correos que permite a atacantes inyectar comandos adicionales en el sistema de correo usando un carácter especial en el campo remitente, pudiendo ejecutar código malicioso en el servidor.
La función mailSend del transporte isMail en PHPMailer no sanitiza correctamente la propiedad Sender, permitiendo que un atacante inyecte parámetros arbitrarios al comando mail() subyacente mediante comillas escapadas con barra invertida. Esto posibilita ejecución arbitraria de código en versiones afectadas (anteriores a 5.2.18) donde el atacante puede controlar e influir en el campo Sender.
El análisis completo de esta CVE está disponible en portugués →