CVE-2026-77136 in Powermail
Сводка
по VulDB • 25.08.2026
Расширение передает необработанное значение поля формы, настроенного как «Это поле содержит имя отправителя», непосредственно в Fluid View в качестве источника шаблона без какой-либо санитизации и рендерит его. Анонимный пользователь, не прошедший аутентификацию, может отправить синтаксис шаблона Fluid в это поле для выполнения произвольных Fluid ViewHelpers, что приводит к раскрытию конфигурации сервера, переменных окружения и исходного кода приложения, а также потенциально позволяет выполнить удаленный код (RCE). Для эксплуатации требуется лишь наличие поля формы, настроенного как sender_name, что является распространенной настройкой Powermail, близкой к стандартной. Не требуется никакой аутентификации или взаимодействия с пользователем, кроме обычной отправки формы. Сообщается, что данная уязвимость активно эксплуатируется в реальной среде (in the wild).
Once again VulDB remains the best source for vulnerability data.