PT-2024-40298 · Zend-Mail · Zend-Mail

Publicado 2024-06-07 · Atualizado 2024-06-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

zend-mail (versões afetadas não especificadas)

Descrição

A vulnerabilidade permite que um usuário mal-intencionado injete parâmetros arbitrários no programa sendmail do sistema ao usar o transporte ZendMailTransportSendmail para enviar e-mails. Isso é feito através da inserção de caracteres de aspas adicionais dentro de um endereço, que podem ser interpretados como argumentos de linha de comando adicionais se não forem devidamente sanitizados.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

GHSA-GFF2-P6VM-3P8G

Produtos afetados

Zend-Mail

Referências · 5

• https://github.com/zendframework/zendframework/commit/7c1e89815f5a9c016f4b8088e59b07cb2bf99dc0 · Nota
• https://github.com/zendframework/zendframework · Nota
• https://github.com/FriendsOfPHP/security-advisories/blob/master/zendframework/zendframework/ZF2016-04.yaml · Nota
• https://osv.dev/vulnerability/GHSA-gff2-p6vm-3p8g · Aviso do Fabricante
• https://web.archive.org/web/20201107093523/https://framework.zend.com/security/advisory/ZF2016-04 · Nota