Legal Hackers による報告：

独立した研究により、PHPMailerに重大な脆弱性があることが判明しました。リモートの（認証されていない）攻撃者がこれを利用して、Webサーバーユーザーのコンテキストでリモートから任意のコードを実行し、ターゲットのWebアプリケーションをリモートから侵害する可能性があります。

攻撃者は、この脆弱性を悪用するために、連絡先/フィードバックフォーム、登録フォーム、パスワードのメールリセットなど、脆弱なバージョンのPHPMailerクラスの支援を受けてメールを送信する一般的なWebサイトコンポーネントを標的にする可能性があります。

脆弱性CVE-2016-10033の最初のパッチが不完全でした。
このアドバイザリーでは、パッチのバイパスをデモンストレーションしています。このバイパスにより、現在のすべてのバージョン（5.2.19を含む）におけるリモートコードの実行が可能になります。

Marina Glancy による報告：

- MSA-17-0001:Boostテーマで独自のプリセットファイルを追加する際のシステムファイルインクルージョン

- MSA-17-0002:フォーラムの属性の不適切なサニタイズ

- MSA-17-0003:返信なしアドレスでのPHPMailerの脆弱性

- MSA-17-0004:課題提出ページのXSS

.

5.2.20より前のPHPMailerのisMailトランスポートにより、リモートの攻撃者がescapeshellarg関数とPHPのメール関数で実行される内部エスケープの間の不適切な相互作用を利用して、追加のパラメーターをmailコマンドに渡し、結果的に任意のコードを実行する可能性があります。注：この脆弱性が存在するのは、CVE-2016-10033の修正が正しくないためです。（CVE-2016-10045）

**バージョン 5.2.21**（2016年12月28日）

  - バージョンファイルの欠落した番号更新を修正 - 機能変更なし

----

**バージョン 5.2.20**（2016年12月28日）

  - **セキュリティ** CVE-2016-10045の重要なセキュリティ更新のため、今すぐ更新してください！[Dawid Golunski]氏（https://legalhackers.com）およびPaul Buonopane氏（Zenexer）に感謝の意を表します。

----

**バージョン 5.2.19**（2016年12月26日）

  - 軽微なクリーンアップ

**バージョン 5.2.18**（2016年12月24日）

  - **セキュリティ** CVE-2016-10033の重要なセキュリティ更新のため、今すぐ更新してください！[Dawid Golunski]氏（https://legalhackers.com）に感謝の意を表します。

  - 一部の一般的なSMTP成功メッセージからSMTPトランザクションIDを抽出する機能を追加します

  - マイナーなドキュメント微調整

**バージョン 5.2.17**（2016年12月9日）

  - これは、公式には5.2の最後の機能リリースです。
    今後のみセキュリティ修正でPHPMailer 6.0を使用！

  - DKIM秘密鍵が文字列として提供されることを許可します

  - 境界のオーバーライドおよびメッセージID作成を可能にするメカニズムを提供します

  - ブラジルのポルトガル語、スペイン語、スウェーデン語、ポルトガル語、ドイツ語の翻訳を改善します

  - Travis-CIのPHP 7.1サポート

  - 一部の言語コードを修正します

  - セキュリティ通知を追加します

  - 古いPHPバージョンのDKIMの互換性を改善します

  - SMTP接続エラーのトラップとキャプチャを改善します

  - デバッグ出力のエラーレベルのパススルーを改善します

  - PHPDocのクリーンアップ

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン 5.2.22**（2017年1月5日）

  -**セキュリティ** [CVE-2017-5223]（https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5223 ）、「msgHTML()」に渡されたコンテンツがフィルターされていないユーザー入力からソースされた場合のローカルファイル漏洩の脆弱性を修正します。AsiasecurityのYongxiang Li氏による報告。この修正は、「$basedir」なしの「msgHTML()」の呼び出しは、相対URLを持つ画像をインポートせず、「..」を含む相対URLが無視されることを意味します。

  - 簡単な連絡先フォームの例を追加します

  - テストコンテンツの絵文字

----

**バージョン 5.2.21**（2016年12月28日）

  - バージョンファイルの欠落した番号更新を修正 - 機能変更なし

----

**バージョン 5.2.20**（2016年12月28日）

  - **セキュリティ** CVE-2016-10045の重要なセキュリティ更新のため、今すぐ更新してください！[Dawid Golunski]氏（https://legalhackers.com）およびPaul Buonopane氏（Zenexer）に感謝の意を表します。

----

**バージョン 5.2.19**（2016年12月26日）

  - 軽微なクリーンアップ

**バージョン 5.2.18**（2016年12月24日）

  - **セキュリティ** CVE-2016-10033の重要なセキュリティ更新のため、今すぐ更新してください！[Dawid Golunski]氏（https://legalhackers.com）に感謝の意を表します。

  - 一部の一般的なSMTP成功メッセージからSMTPトランザクションIDを抽出する機能を追加します

  - マイナーなドキュメント微調整

**バージョン 5.2.17**（2016年12月9日）

  - これは、公式には5.2の最後の機能リリースです。
    今後のみセキュリティ修正でPHPMailer 6.0を使用！

  - DKIM秘密鍵が文字列として提供されることを許可します

  - 境界のオーバーライドおよびメッセージID作成を可能にするメカニズムを提供します

  - ブラジルのポルトガル語、スペイン語、スウェーデン語、ポルトガル語、ドイツ語の翻訳を改善します

  - Travis-CIのPHP 7.1サポート

  - 一部の言語コードを修正します

  - セキュリティ通知を追加します

  - 古いPHPバージョンのDKIMの互換性を改善します

  - SMTP接続エラーのトラップとキャプチャを改善します

  - デバッグ出力のエラーレベルのパススルーを改善します

  - PHPDocのクリーンアップ

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Ubuntu 16.04ESM / 18.04ESM / 20.04ESM / 22.04ESM ホストには、USN-5956-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 5.2.18より前の PHPMailer の isMail トランスポートにある mailSend 関数により、リモート攻撃者が細工された差出人アドレスの \ (バックスラッシュと二重引用符) を介して、mail コマンドに追加のパラメーターを渡し、結果的に任意のコードを実行する可能性があります。(CVE-2016-10033)

  - 5.2.20より前の PHPMailer の isMail トランスポートにより、リモート攻撃者が escapeshellarg 関数と PHP のメール関数で実行される内部エスケープの間の不適切な相互作用を利用して、追加のパラメーターを mail コマンドに渡し、結果的に任意のコードを実行する可能性があります。注: この脆弱性は、CVE-2016-10033の修正が不適切なために存在します。(CVE-2016-10045)

  - PHPMailer 5.2.23では、code_generator.php の From Email Address フィールドと To Email Address フィールドに XSS があります。
    (CVE-2017-11503)

  - 5.2.22より前の PHPMailer に問題が見つかりました。PHPMailer の msgHTML メソッドは、HTML ドキュメントに変換を適用して、電子メールメッセージ本文として使用できるようにします。変換の 1 つは、スクリプトが提供するベースディレクトリを使用して、相対画像 URL を添付ファイルに変換することです。ベースディレクトリが提供されない場合、/ に解決されます。これは相対画像 URL が絶対ローカルファイルパスとして扱われ、添付ファイルとして追加されることを意味します。リモートの脆弱性を形成するために、msgHTML メソッドが呼び出され、フィルターされていないユーザー指定の HTML ドキュメントを渡す必要があり、かつベースディレクトリを設定していないことが必要です。(CVE-2017-5223)

  - 5.2.27 より前の PHPMailer および 6.0.6 より前の 6.x は、オブジェクトインジェクション攻撃に対して脆弱です。(CVE-2018-19296)

  - 添付ファイルの名前に二重引用符文字が含まれる場合、6.1.6 より前の PHPMailer に出力エスケープバグが含まれています。これにより、ファイルタイプが、メッセージを処理する受信者またはメールリレーによって誤って解釈される可能性があります。(CVE-2020-13625)

  - PHPMailer 6.4.1 以前には、信頼できないコードが呼び出される原因となる脆弱性が含まれています (このようなコードが他の手段でホストプロジェクトのスコープに挿入される場合)。validateAddress() への $patternselectパラメーターが「php」(PHPMailer :$validator で定義されたデフォルト) に設定されている場合、およびグローバル名前空間に php という関数が含まれている場合、同じ名前のビルトインバリデーターに優先して呼び出されます。バリデーター関数名として、単純な文字列の使用を拒否することにより、PHPMailer 6.5.0で緩和されました。
    (CVE-2021-3603)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョン番号によると、リモートWebサーバーで実行されているWordPressアプリケーションは、4.7.1より前です。したがって、以下の複数の脆弱性による影響を受けます：- 送信者のメールアドレスが不適切に処理されているため、リモートでコードが実行される脆弱性がclass.phpmailer.phpスクリプトのPHPMailerコンポーネントにあります。認証されていないリモートの攻撃者がこれを悪用して、sendmailバイナリに追加の引数を渡すことにより、攻撃者が任意のコードを実行する可能性があります。（CVE-2016-10033、CVE-2016-10045）- Post Authorのリストを適切に制限しないため、REST APIの実装に情報漏えいの脆弱性があります。認証されていないリモートの攻撃者が、これを悪用して、wp-json/wp/v2/usersリクエストを介して、秘密情報を漏洩する可能性があります。（CVE-2017-5487）- プラグイン名またはバージョンヘッダーへの入力の検証が不適切なため、update-core.phpスクリプトに複数のクロスサイトスクリプティング（XSS）の脆弱性が存在します。認証されていないリモートの攻撃者がこれらを悪用し、特別に細工されたリクエストを介して、ユーザーのブラウザーセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2017-5488）- アップロードされたFlashファイルの処理が不適切なため、クロスサイトリクエストフォージェリ（XSRF）の脆弱性が存在します。認証されていないリモートの攻撃者がこの脆弱性を悪用し、特別に細工されたFlashファイルを介し、ユーザーの認証情報を乗っ取る可能性があります。（CVE-2017-5489）- テーマ名のフォールバック処理時の入力が不適切に検証されているため、クロスサイトスクリプティング（XSS）の脆弱性がclass-wp-theme.phpスクリプトにあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたリクエストを介して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2017-5490）- メールサーバー名の検証が不適切なため、wp-mail.phpスクリプトにセキュリティをバイパスする脆弱性が存在します。認証されていないリモートの攻撃者がこの脆弱性を悪用し、「mail.example.com」という名前の偽装メールサーバーを介して想定されたセキュリティ制限を回避する可能性があります。（CVE-2017-5491）- 特定の秘密性の高いアクションを実行するときに、HTTP GETリクエストが/userに複数のステップ、明示的な確認、または一意のトークンを要求しないために、クロスサイトリクエストフォージェリ（XSRF）の脆弱性があります。認証されていないリモートの攻撃者が、ユーザーを騙して特別に細工されたリンクをフォローさせることで、これを悪用し、ユーザー認証をハイジャックし、UI の信頼できるコンテンツを置換する可能性があります。（CVE-2017-5492）- マルチサイトアクティベーションキーに弱い暗号セキュリティを使用するため、ms-functions.phpスクリプトにセキュリティをバイパスする脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたサイトのサインアップまたはユーザーのサインアップを介して、想定されたアクセス制限をバイパスする可能性があります。（CVE-2017-5493）Nessusはこれらの問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Legal Hackers reports :

An independent research uncovered a critical vulnerability in PHPMailer that could potentially be used by (unauthenticated) remote attackers to achieve remote arbitrary code execution in the context of the web server user and remotely compromise the target web application.

To exploit the vulnerability an attacker could target common website components such as contact/feedback forms, registration forms, password email resets and others that send out emails with the help of a vulnerable version of the PHPMailer class.

The first patch of the vulnerability CVE-2016-10033 was incomplete.
This advisory demonstrates the bypass of the patch. The bypass allows to carry out Remote Code Execution on all current versions (including 5.2.19).

Marina Glancy reports :

- MSA-17-0001: System file inclusion when adding own preset file in Boost theme

- MSA-17-0002: Incorrect sanitation of attributes in forums

- MSA-17-0003: PHPMailer vulnerability in no-reply address

- MSA-17-0004: XSS in assignment submission page

The isMail transport in PHPMailer before 5.2.20 might allow remote attackers to pass extra parameters to the mail command and consequently execute arbitrary code by leveraging improper interaction between the escapeshellarg function and internal escaping performed in the mail function in PHP. NOTE: this vulnerability exists because of an incorrect fix for CVE-2016-10033. (CVE-2016-10045)

**Version 5.2.21** (December 28th 2016)

  - Fix missed number update in version file - no functional     changes

----

**Version 5.2.20** (December 28th 2016)

  - **SECURITY** Critical security update for CVE-2016-10045     please update now! Thanks to [Dawid     Golunski](https://legalhackers.com) and Paul Buonopane     (Zenexer).

----

** Version 5.2.19** (December 26th 2016)

  - Minor cleanup

** Version 5.2.18** (December 24th 2016)

  - **SECURITY** Critical security update for CVE-2016-10033     please update now! Thanks to [Dawid     Golunski](https://legalhackers.com).

  - Add ability to extract the SMTP transaction ID from some     common SMTP success messages

  - Minor documentation tweaks

** Version 5.2.17** (December 9th 2016)

  - This is officially the last feature release of 5.2.
    Security fixes only from now on; use PHPMailer 6.0!

  - Allow DKIM private key to be provided as a string

  - Provide mechanism to allow overriding of boundary and     message ID creation

  - Improve Brazilian Portuguese, Spanish, Swedish,     Romanian, and German translations

  - PHP 7.1 support for Travis-CI

  - Fix some language codes

  - Add security notices

  - Improve DKIM compatibility in older PHP versions

  - Improve trapping and capture of SMTP connection errors

  - Improve passthrough of error levels for debug output

  - PHPDoc cleanup

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

**Version 5.2.22** (January 5th 2017)

  - **SECURITY** Fix     [CVE-2017-5223](https://web.nvd.nist.gov/view/vuln/detai     l?vulnId=CVE-2017-5223), local file disclosure     vulnerability if content passed to `msgHTML()` is     sourced from unfiltered user input. Reported by     Yongxiang Li of Asiasecurity. The fix for this means     that calls to `msgHTML()` without a `$basedir` will not     import images with relative URLs, and relative URLs     containing `..` will be ignored.

  - Add simple contact form example

  - Emoji in test content

----

**Version 5.2.21** (December 28th 2016)

  - Fix missed number update in version file - no functional     changes

----

**Version 5.2.20** (December 28th 2016)

  - **SECURITY** Critical security update for CVE-2016-10045     please update now! Thanks to [Dawid     Golunski](https://legalhackers.com) and Paul Buonopane     (Zenexer).

----

** Version 5.2.19** (December 26th 2016)

  - Minor cleanup

** Version 5.2.18** (December 24th 2016)

  - **SECURITY** Critical security update for CVE-2016-10033     please update now! Thanks to [Dawid     Golunski](https://legalhackers.com).

  - Add ability to extract the SMTP transaction ID from some     common SMTP success messages

  - Minor documentation tweaks

** Version 5.2.17** (December 9th 2016)

  - This is officially the last feature release of 5.2.
    Security fixes only from now on; use PHPMailer 6.0!

  - Allow DKIM private key to be provided as a string

  - Provide mechanism to allow overriding of boundary and     message ID creation

  - Improve Brazilian Portuguese, Spanish, Swedish,     Romanian, and German translations

  - PHP 7.1 support for Travis-CI

  - Fix some language codes

  - Add security notices

  - Improve DKIM compatibility in older PHP versions

  - Improve trapping and capture of SMTP connection errors

  - Improve passthrough of error levels for debug output

  - PHPDoc cleanup

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM / 22.04 ESM host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-5956-1 advisory.

    Dawid Golunski discovered that PHPMailer was not properly escaping user input data used as arguments to     functions executed by the system shell. An attacker could possibly use this issue to execute arbitrary     code. This issue only affected Ubuntu 16.04 ESM. (CVE-2016-10033, CVE-2016-10045)

    It was discovered that PHPMailer was not properly escaping characters in certain fields of the     code_generator.php example code. An attacker could possibly use this issue to conduct cross-site scripting     (XSS) attacks. This issue was only fixed in Ubuntu 16.04 ESM and Ubuntu 18.04 ESM. (CVE-2017-11503)

    Yongxiang Li discovered that PHPMailer was not properly converting relative paths provided as user input     when adding attachments to messages, which could lead to relative image URLs being treated as absolute     local file paths and added as attachments. An attacker could possibly use this issue to access     unauthorized resources and expose sensitive information. This issue only affected Ubuntu 16.04 ESM.
    (CVE-2017-5223)

    Sehun Oh discovered that PHPMailer was not properly processing untrusted non-local file attachments, which     could lead to an object injection. An attacker could possibly use this issue to execute arbitrary code.
    This issue only affected Ubuntu 16.04 ESM. (CVE-2018-19296)

    Elar Lang discovered that PHPMailer was not properly escaping file attachment names, which could lead to a     misinterpretation of file types by entities processing the message. An attacker could possibly use this     issue to bypass attachment filters. This issue was only fixed in Ubuntu 16.04 ESM and Ubuntu 20.04 ESM.
    (CVE-2020-13625)

    It was discovered that PHPMailer was not properly handling callables in its validateAddress function,     which could result in untrusted code being called should the global namespace contain a function called     'php'. An attacker could possibly use this issue to execute arbitrary code. This issue was only fixed in     Ubuntu 20.04 ESM and Ubuntu 22.04 ESM. (CVE-2021-3603)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

According to its self-reported version number, the WordPress application running on the remote web server is prior to 4.7.1.
It is, therefore, affected by multiple vulnerabilities :

  - A remote code execution vulnerability exists in the     PHPMailer component in the class.phpmailer.php script     due to improper handling of sender email addresses. An     unauthenticated, remote attacker can exploit this to     pass extra arguments to the sendmail binary, potentially     allowing the attacker to execute arbitrary code.
    (CVE-2016-10033, CVE-2016-10045)

  - An information disclosure vulnerability exists in the     REST API implementation due to a failure to properly     restrict listings of post authors. An unauthenticated,     remote attacker can exploit this, via a     wp-json/wp/v2/users request, to disclose sensitive     information. (CVE-2017-5487)

  - Multiple cross-site scripting (XSS) vulnerabilities     exist in the update-core.php script due to improper     validation of input to the plugin name or version     header. An unauthenticated, remote attacker can exploit     these, via a specially crafted request, to execute     arbitrary script code in a user's browser session.
    (CVE-2017-5488)

  - A cross-site request forgery (XSRF) vulnerability exists     due to improper handling of uploaded Flash files. An     unauthenticated, remote attacker can exploit this, via a     specially crafted Flash file, to hijack the     authentication of users. (CVE-2017-5489)

  - A cross-site scripting (XSS) vulnerability exists in the     class-wp-theme.php script due to improper validation of     input when handling theme name fallback. An     unauthenticated, remote attacker can exploit this, via a     specially crafted request, to execute arbitrary script     code in a user's browser session. (CVE-2017-5490)

  - A security bypass vulnerability exists in the     wp-mail.php script due to improper validation of mail     server names. An unauthenticated, remote attacker can     exploit this, via a spoofed mail server with the     'mail.example.com' name, to bypass intended security     restrictions. (CVE-2017-5491)

  - A cross-site request forgery (XSRF) vulnerability exists     in the widget-editing accessibility-mode feature due to     a failure to require multiple steps, explicit     confirmation, or a unique token when performing certain     sensitive actions for HTTP requests. An unauthenticated,     remote attacker can exploit this, by convincing a user     to follow a specially crafted URL, to hijack the     authentication of users or cause them to edit widgets.
    (CVE-2017-5492)

  - A security bypass vulnerability exists in the     ms-functions.php script due to the use of weak     cryptographic security for multisite activation keys. An     unauthenticated, remote attacker can exploit this, via a     specially crafted site sign-up or user sign-up, to     bypass intended access restrictions. (CVE-2017-5493)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
96172	FreeBSD : phpmailer -- リモートコードの実行（3c4693de-ccf7-11e6-a9a5-b499baebfeaf）	Nessus	FreeBSD Local Security Checks	2016/12/29	2026/1/7	critical
97812	FreeBSD: moodle -- 複数の脆弱性（f72d98d1-0b7e-11e7-970f-002590263bf5）	Nessus	FreeBSD Local Security Checks	2017/3/20	2025/12/29	critical
100280	F5 Networks BIG-IP：PHPMailerの脆弱性（K73926196）	Nessus	F5 Networks Local Security Checks	2017/5/19	2025/7/7	critical
96319	Fedora 25：php-PHPMailer（2016-6941d25875）	Nessus	Fedora Local Security Checks	2017/1/6	2025/7/7	critical
96574	Fedora 24：php-PHPMailer（2017-c3dc97e1e1）	Nessus	Fedora Local Security Checks	2017/1/18	2025/7/7	critical
172589	Ubuntu 16.04ESM / 18.04ESM / 20.04ESM / 22.04ESM: PHPMailer の脆弱性 (USN-5956-1)	Nessus	Ubuntu Local Security Checks	2023/3/15	2025/9/3	critical
96606	WordPress < 4.7.1の複数の脆弱性	Nessus	CGI abuses	2017/1/18	2025/7/7	critical
96172	FreeBSD : phpmailer -- Remote Code Execution (3c4693de-ccf7-11e6-a9a5-b499baebfeaf)	Nessus	FreeBSD Local Security Checks	2016/12/29	2026/1/7	critical
97812	FreeBSD : moodle -- multiple vulnerabilities (f72d98d1-0b7e-11e7-970f-002590263bf5)	Nessus	FreeBSD Local Security Checks	2017/3/20	2025/12/29	critical
100280	F5 Networks BIG-IP : PHPMailer vulnerability (K73926196)	Nessus	F5 Networks Local Security Checks	2017/5/19	2025/7/7	critical
96319	Fedora 25 : php-PHPMailer (2016-6941d25875)	Nessus	Fedora Local Security Checks	2017/1/6	2025/7/7	critical
96574	Fedora 24 : php-PHPMailer (2017-c3dc97e1e1)	Nessus	Fedora Local Security Checks	2017/1/18	2025/7/7	critical
172589	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM / 22.04 ESM : PHPMailer vulnerabilities (USN-5956-1)	Nessus	Ubuntu Local Security Checks	2023/3/15	2025/9/3	critical
96606	WordPress < 4.7.1 Multiple Vulnerabilities	Nessus	CGI abuses	2017/1/18	2025/7/7	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical