CVE-2026-77136 in Powermail
摘要
由 VulDB • 2026-08-25
该扩展程序将配置为“此字段包含发件人姓名”的表单字段的原始值直接作为模板源传入 Fluid View，且未进行任何清理处理并对其进行渲染。匿名、未经身份验证的用户可以在该字段中提交 Fluid 模板语法，从而执行任意 Fluid ViewHelpers，导致服务器配置、环境变量和应用程序源代码泄露，甚至可能导致远程代码执行（RCE）。利用此漏洞仅需将某个表单字段配置为 sender_name 字段，这是一种常见且接近默认设置的 Powermail 配置。除了正常的表单提交流程外，无需任何身份验证或用户交互。据报道，该漏洞已在野外被积极利用。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.