CVE-2026-77136 in Powermail
Résumé
par VulDB • 25/08/2026
L'extension transmet la valeur brute d'un champ de formulaire configuré comme « Ce champ contient le nom de l'expéditeur » directement dans une Vue Fluid en tant que source de modèle, sans aucune sanitization (épuration), et la rend. Un utilisateur anonyme et non authentifié peut soumettre de la syntaxe de template Fluid dans ce champ pour exécuter des ViewHelpers Fluid arbitraires, entraînant la divulgation de la configuration du serveur, des variables d'environnement et du code source de l'application, ainsi qu'une éventuelle exécution de code à distance (RCE). L'exploitation nécessite uniquement que le champ soit configuré comme le champ sender_name, une configuration courante et proche par défaut pour Powermail. Aucune authentification ni interaction utilisateur autre qu'une soumission normale de formulaire n'est requise. Cette vulnérabilité est signalée comme étant activement exploitée dans la nature (in the wild).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.