CVE-2026-77136 in Powermail
要約
〜によって VulDB • 2026年08月25日
この拡張機能は、「送信者の名前を含むフィールド」として設定されたフォームフィールドの生値を、何らのサニタイズ処理も施さずに直接 Fluid View のテンプレートソースとして渡し、レンダリングします。匿名かつ認証されていないユーザーはこのフィールドに Fluid テンプレートの構文を送信することで、任意の Fluid ViewHelper を実行し、サーバー構成、環境変数、およびアプリケーションソースの開示を引き起こす可能性があり、さらにリモートコード実行（RCE）に至る可能性があります。攻撃には、フォームフィールドが送信者名フィールドとして設定されていることのみが必要であり、これは Powermail の一般的なデフォルトに近い設定です。認証や通常のフォーム送信以外のユーザー操作は必要ありません。この脆弱性は実際に野外で悪用されていると報告されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.