критическая уязвимость в PHPMailer

Самое главное в этой уязвимости это то, что PHPMailer'у можно было "скормить" вместо почтового адреса (email) отправителя, что-то "более серьезное", из-за чего и вылезли проблемы.

Однако, если на вашем сайте все данные, которые отправляются с помощью форм проходят соответствующую валидацию (иными словами, если вы после получения данных проверяете что введен именно email, а не какая-то невалидная фигня), то на эту уязвимость можно просто тупо забить.

Пользуясь случаем, хочу уточнить.

Уязвимостью опасна в случае использования в форме адреса from. (привет самописным формам).

В нек плагинах обратной связи, в частности в популярном CF7, в качестве from поставляется мыло на домене сайта. Юзеровское же мыло пишется в доп заголовке Reply TO.

Обсуждение на оф форуме ВП.

---------- Добавлено 30.12.2016 в 12:37 ----------

Отправителя надо не во from, а в Reply Tо ставить.

Сейчас хостинги сталкиваются с массовыми заражениями сайтов через эту дыру. В основном она используется для заливки скриптов на сайт для E-mail спама.

Мне один сайт сломали, не знаю совпадение или нет - эта дыра была.

Залили шелл(как? уязвимости вроде такой возможности не дает).

CF7 тоже установлен, он уязвим, обновление вышло?

Как раз именно такую возможность эта уязвимость и даёт. Другое дело, что возможность эксплуатации этой уязвимости довольно ограничена, и наличие уязвимого класса PHPMailer вовсе не означает, что система уязвима.

Это не касается пплагинов напрямую. Это библиотека php.

Опасность же в плагинах (вернее в любых формах отправки мыл, использующим эту библиотеку) - только если они в Form дают поставить мыло отправителя из формы (да ещё если без проверки).

CF7 не даёт так сделать, а требует мыло домена.