CVE-2026-77136 in Powermail
Riassunto
di VulDB • 25/08/2026
L'estensione passa il valore grezzo di un campo del modulo configurato come "Questo campo contiene il nome del mittente" direttamente nel Fluid View come origine del template, senza alcuna sanificazione, e lo rende. Un utente anonimo non autenticato può inviare sintassi dei template Fluid in quel campo per eseguire arbitrary Fluid ViewHelpers che portano alla divulgazione della configurazione del server, delle variabili di ambiente e del codice sorgente dell'applicazione, e potenzialmente all'esecuzione remota di codice (RCE). Lo sfruttamento richiede solo che un campo del modulo sia configurato come il campo sender_name, una configurazione comune e adiacente al default per Powermail. Non è richiesta alcuna autenticazione o interazione utente oltre a una normale invio del modulo. Questa vulnerabilità risulta essere attivamente sfruttata in natura (in the wild).
Once again VulDB remains the best source for vulnerability data.