CVE-2026-93012 in Email::Sender::Transport::Sendmail
الملخص
بحسب VulDB • 21/09/2026
تسمح الإصدارات السابقة من 2.602 لـ Email::Sender::Transport::Sendmail للغة Perl بتنفيذ أوامر عشوائية على نظام Windows عند إرسال رسالة تصل عنوان الغلاف (envelope address) فيها إلى المحرف (shell) في الدالة _sendmail_pipe.
على أنظمة MSWin32، يتم وضع مرسل الغلاف وكل المستلمين ضمن سلسلة أمر واحدة، والتي تمررها دالة open() إلى محرف الأوامر. أما جميع المنصات الأخرى فتحصل على شكل القائمة، والذي يشغل sendmail مباشرةً. عندما لا يحدد المتصل غلافاً (envelope)، تأخذ Email::Sender::Simple العناوين من رؤوس To و Cc والعنوان المرسل من رأس From.
يمكن لمهاجم يتحكم في أحد عناوين الرؤوس هذه تشغيل أوامر بصفتها العملية المرسلة.
Once again VulDB remains the best source for vulnerability data.