WBCE CMS Forum

med

Mitglied

[gelöst] Frage zu PHPMailer in WBCE

Hallo
ich habe von meinem Hoster folgende Mitteilung erhalten:

Für Applikationen, die auf Ihrem Webhosting installiert sind, sind Sicherheitslücken aufgetaucht. Wir haben die folgenden Lücken bereits automatisch für Sie geschlossen:

Sicherheitslücke vom Typ “Code-Injection” in PHPMailer
/home/mediati1/public_html/include/PHPMailer/src/PHPMailer.php

Hat jemand irgend eine Ahnung oder Infos darüber oder betreffend PHPMailer?
Danke. med.

Edit: Betreff angepasst

Beitrag geändert von colinax (19.05.2021 19:24:07)

florian

Administrator

Re: [gelöst] Frage zu PHPMailer in WBCE

Es scheint, als wären bestimmte Versionen des PHPMailers unter bestimmten Bedingungen angreifbar.
https://nvd.nist.gov/vuln/detail/CVE-20 … ge-6616545
Ich habe davon aber nur im Zusammenhang mit Wordpress gelesen.
https://www.heise.de/news/Jetzt-patchen … 45823.html
In der kommenden WBCE-Version wird aber PHPMailer 6.4.1 enthalten sein, der von der Lücke nicht betroffen ist.

med

Mitglied

Re: [gelöst] Frage zu PHPMailer in WBCE

Danke für die Antwort. Ok, ich werde dann mal nichts unternehmen und auf die kommende WBCE-Version warten 

stefanek

Core-Team

Re: [gelöst] Frage zu PHPMailer in WBCE

Der Provider schrieb:

Wir haben die folgenden Lücken bereits automatisch für Sie geschlossen:

Könntest Du bitte kurz in Erfahrung bringen was sie genau getan haben, um die Lücke zu schließen?

Gruß,
Christian

---

“Success is the progressive realization of a worthy ideal.” ― Earl Nightingale

med

Mitglied

Re: [gelöst] Frage zu PHPMailer in WBCE

So auf die Kürze ... was sie getan haben, weiss ich nicht. Ich habe schnell auf dem Server nachgeguckt und nur gefunden, dass die Datei PHPMailer.php geändert wurde. Sie hat jetzt eine Grösse von 166544.
Bei Gelegenheit frage ich noch nach 

colinax

Developer

Re: [gelöst] Frage zu PHPMailer in WBCE

Ich hab mir diese (false positiv) Sicherheitslücke mal angesehen. Das ist keine Sicherheitslücke sondern nur eine Code Quality Verbesserung die das Ganze auch noch stricter kontrolliert.

Was auch fast nie genannt wird, wenn man es genau nimmt ist das eine Verwendung von Befehlen die das gewünschte manchen nur eben an der betroffenen Stelle die falsche richtige nicht genug stricte Funktion verwendet wird.

In der kommenden WBCE-Version wird aber PHPMailer 6.4.1 enthalten sein, der von der Lücke nicht betroffen ist.

WBCE 1.5.0 wurde am 22.5.21 veröffentlich.

Betreff als gelöst markiert.

Beitrag geändert von colinax (29.05.2021 15:55:39)