CVE-2026-77136 in Powermail
Zusammenfassung
von VulDB • 25.08.2026
Die Erweiterung übergibt den Rohwert eines Formularfelds, das als „Dieses Feld enthält den Namen des Absenders“ konfiguriert ist, ohne jegliche Bereinigung (Sanitization) direkt als Template-Quelle an eine Fluid View und rendert diesen. Ein anonymen, nicht authentifizierter Benutzer kann in diesem Feld Fluid-Templating-Syntax einreichen, um beliebige Fluid ViewHelpers auszuführen, was zur Offenlegung von Serverkonfiguration, Umgebungsvariablen und Anwendungsquellcode führt und potenziell Remote Code Execution (RCE) ermöglicht. Die Ausnutzung erfordert lediglich, dass ein Formularfeld als sender_name-Feld konfiguriert ist – eine häufige und standardnahe Powermail-Konfiguration. Keine Authentifizierung oder Benutzerinteraktion über die normale Übermittlung eines Formulars hinaus ist erforderlich. Diese Schwachstelle wird als aktiv im Wilden ausgenutzt gemeldet.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.