SMTP Injection in PHPMailer

中 5.0CVE-2015-8476 · GHSA-738m-f33v-qc2r · 16/12/2015 公開 · 17/06/2026 更新

要点

CVE-2015-8476 は phpmailer/phpmailer, phpmailer (phpmailer project) に影響する深刻度「中」 (CVSS 5.0) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.0%（全脆弱性の 80.6% より高い）。
対処：5.2.14 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
phpmailer/phpmailer Packagist	`≥ 5.0.0, < 5.2.14`	`5.2.14`
phpmailer phpmailer_project	`≤ 5.2.13`	修正版なし

概要

Impact

Attackers could inject arbitrary SMTP commands via by exploiting the fact that valid email addresses may contain line breaks, which are not handled correctly in some contexts.

Patches

Fixed in 5.2.14 in this commit.

Workarounds

Manually strip line breaks from email addresses before passing them to PHPMailer.

References

https://nvd.nist.gov/vuln/detail/CVE-2015-8476

For more information

If you have any questions or comments about this advisory:

Open a private issue in the PHPMailer project

NVD の説明

Multiple CRLF injection vulnerabilities in PHPMailer before 5.2.14 allow attackers to inject arbitrary SMTP commands via CRLF sequences in an (1) email address to the validateAddress function in class.phpmailer.php or (2) SMTP command to the sendCommand function in class.smtp.php, a different vulnerability than CVE-2012-0796.

参考情報

PHPMailer/PHPMailer security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2015-8476 · ADVISORY
PHPMailer/PHPMailer commit 6687a96 · WEB
FriendsOfPHP/security-advisories · WEB
PHPMailer/PHPMailer release v5.2.14 · WEB
lists.fedoraproject.org/pipermail/package-announce/2016-February/177130.html · WEB
lists.fedoraproject.org/pipermail/package-announce/2016-February/177139.html · WEB
debian.org/security/2015/dsa-3416 · WEB
openwall.com/lists/oss-security/2015/12/04/5 · WEB
openwall.com/lists/oss-security/2015/12/05/1 · WEB
securityfocus.com/bid/78619

phpmailer/phpmailer のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

phpmailer/phpmailer

Packagist

≥ 5.0.0, < 5.2.14

5.2.14

phpmailer

phpmailer_project

≤ 5.2.13

修正版なし

概要

Impact

Attackers could inject arbitrary SMTP commands via by exploiting the fact that valid email addresses may contain line breaks, which are not handled correctly in some contexts.

Patches

Fixed in 5.2.14 in this commit.

Workarounds

Manually strip line breaks from email addresses before passing them to PHPMailer.

References

https://nvd.nist.gov/vuln/detail/CVE-2015-8476

For more information

If you have any questions or comments about this advisory:

Open a private issue in the PHPMailer project

NVD の説明

phpmailer/phpmailer のその他の脆弱性

すべて見る →