CVE-2020-36326
Kritik
Açıklama
PHPMailer 6.1.8 ile 6.4.0 arasındaki sürümler, bir UNC yol adı içeren addAttachment aracılığıyla Phar Deserialization üzerinden nesne enjeksiyonuna (object injection) izin vermektedir. NOT: bu durum CVE-2018-19296'ya benzerdir ancak 6.1.8 sürümünde, güvenli bağlamlarda bile UNC yol adlarının PHPMailer tarafından her zaman okunamaz olarak değerlendirildiği bir işlevsellik sorununun düzeltilmesinden kaynaklanmıştır. Beklenmedik bir yan etki olarak, bu düzeltme addAttachment istismarını engelleyen kodu ortadan kaldırmıştır.
ÖnemKritik
CVSS9.8
İstismar olasılığı88. yüzdelik%3,1
Ürün
Phpmailer
Yayın28 Nis 2021
İlk görülme28 Nis 2021
Nasıl düzeltilir
Güncelleyin
- wordpress wordpress3.7.36, 3.8.36, 3.9.34, 4.0.33, 4.1.33, 4.2.30, 4.3.26, 4.4.25, 4.5.24, 4.6.21, 4.7.21, 4.8.17, 4.9.18, 5.0.13, 5.1.10, 5.2.11, 5.3.8, 5.4.6, 5.5.5, 5.6.4, 5.7.2 ya da sonraki bir sürüm
- phpmailer/phpmailer6.4.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| phpmailer_project phpmailer | 6.1.8 ≤ v ≤ 6.4.0 | — |
| wordpress wordpress | 3.7 ≤ v < 3.7.36, 3.8 ≤ v < 3.8.36, 3.9 ≤ v < 3.9.34, 4.0 ≤ v < 4.0.33, 4.1 ≤ v < 4.1.33, 4.2 ≤ v < 4.2.30, 4.3 ≤ v < 4.3.26, 4.4 ≤ v < 4.4.25, 4.5 ≤ v < 4.5.24, 4.6 ≤ v < 4.6.21, 4.7 ≤ v < 4.7.21, 4.8 ≤ v < 4.8.17, 4.9 ≤ v < 4.9.18, 5.0 ≤ v < 5.0.13, 5.1 ≤ v < 5.1.10, 5.2 ≤ v < 5.2.11, 5.3 ≤ v < 5.3.8, 5.4 ≤ v < 5.4.6, 5.5 ≤ v < 5.5.5, 5.6 ≤ v < 5.6.4, 5.7 ≤ v < 5.7.2 | 3.7.36, 3.8.36, 3.9.34, 4.0.33, 4.1.33, 4.2.30, 4.3.26, 4.4.25, 4.5.24, 4.6.21, 4.7.21, 4.8.17, 4.9.18, 5.0.13, 5.1.10, 5.2.11, 5.3.8, 5.4.6, 5.5.5, 5.6.4, 5.7.2 |
| phpmailer/phpmailerPackagist | 6.1.8 ≤ v < 6.4.1 | 6.4.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.