【漏洞公告】PHPMailer曝远程代码执行高危漏洞（CVE-2016-10033）
近日，波兰研究人员 Dawid Golunski 发现了一个存在于PHPMailer中的严重远程代码执行漏洞。该漏洞在昨天的legalhackers.com上公布，但漏洞利用细节的概念验证并未包括在内。
漏洞具体详情如下：
漏洞编号： CVE-2016-10033
漏洞描述：
远程攻击者利用该漏洞，可实现远程任意代码在web服务器账户环境中执行，并使web应用陷入威胁中。攻击者主要在常见的web表单如意见反馈表单，注册表单，邮件密码重置表单等使用邮件发送的组件时利用此漏洞。 官方评级：高危 漏洞危害： 该漏洞由于发件人的电子邮件地址在传输时没有转义为shell命令，攻击者就可以在发件人的电子邮件中增加shell命令以便在目标机器或网站上执行恶意代码。 漏洞利用条件： 可以实现远程利用。 该漏洞利用依赖 ssh-agent ，这个进程默认不启动、只在多主机间免 密码 登录时才会用到，漏洞利用条件也比较苛刻，
漏洞影响范围：
影响范围包括WordPress、Drupal、1CRM、Joomla!等开源CMS使用该组件。
PHPMailer(PHPMailer < 5.2.18)版本
漏洞修复建议(或缓解措施)：
更新到5.2.18： https://github.com/PHPMailer/PHPMailer
情报来源：
https://github.com/PHPMailer/PHPMailer/blob/master/changelog.md
https://github.com/PHPMailer/PHPMailer/blob/master/SECURITY.md
http://www.secye.com/Network/loudongbuding/10345.html
展开
收起
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
相关问答
