CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2016-10033

CVSS 9.8v3.1pub. 2016-12-30upd. 2026-04-21

The mailSend function in the isMail transport in PHPMailer before 5.2.18 might allow remote attackers to pass extra parameters to the mail command and consequently execute arbitrary code via a \" (backslash double quote) in a crafted Sender property.

oryginał EN

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Joomla Joomla\!
APP
Joomla
1.5.0 – 3.6.5
Phpmailer Project Phpmailer
APP
Phpmailer Project
< 5.2.18
WordPress
APP
Wordpress
≤ 4.7

CISA KEV — szczegółyi

Dostawcai: PHP
Produkti: PHPMailer
Data dodania do KEVi: 7 lipca 2025
Termin remediation (USA)i: 28 lipca 2025(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta, postępuj zgodnie z wytycznymi BOD 22-01 dla usług w chmurze lub zaprzestań używania produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Opis CISAi

PHPMailer zawiera lukę command injection, ponieważ nie neutralizuje danych wejściowych dostarczonych przez użytkownika. W szczególności problem dotyczy funkcji 'mail()' skryptu 'class.phpmailer.php'. Atakujący może wykorzystać tę lukę do wykonania arbitralnego kodu w kontekście aplikacji. Nieudane próby exploitacji mogą prowadzić do warunku denial-of-service.

tłumaczenie AI

▸ Pokaż oryginał (EN)

PHPMailer contains a command injection vulnerability because it fails to sanitize user-supplied input. Specifically, this issue affects the 'mail()' function of 'class.phpmailer.php' script. An attacker can exploit this issue to execute arbitrary code within the context of the application. Failed exploit attempts will result in a denial-of-service condition.

🔴