CVE-2026-77136 in Powermail
요약
\~에 의해 VulDB • 2026. 08. 25.
이 확장 프로그램은 "발신자의 이름을 포함하는 필드"로 구성된 폼 필드의 원본 값을 무차별적으로 Fluid View의 템플릿 소스로 전달하며, 어떠한 sanitization(정제)도 수행하지 않고 이를 렌더링합니다. 익명이며 인증되지 않은 사용자는 해당 필드에 Fluid 템플릿 구문을 제출하여 임의의 Fluid ViewHelpers를 실행할 수 있으며, 이로 인해 서버 구성 정보, 환경 변수 및 애플리케이션 소스 코드가 유출되고, 잠재적으로 원격 코드 실행(RCE)으로 이어질 수 있습니다. 이 취약점을 악용하기 위해서는 폼 필드가 sender_name 필드로 구성되어 있는 것만으로 충분하며, 이는 Powermail에서 일반적이고 기본 설정에 가까운 구성입니다. 인증이나 일반적인 폼 제출 이상의 사용자 상호작용은 필요하지 않습니다. 본 취약점은 실제 환경에서 활발히 악용되고 있다고 보고됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.