Sicherheitslücke vom Typ “Code-Injection” in PHPMailer

Hallo,

leider nennt er die spezifische Sicherheitslücke nicht, wir können das also nicht prüfen.

Wenn Ihre Formulare weiterhin funktionieren, dann lassen Sie es am besten so, wie vom Provider eingestellt (gepatched).

Guten Tag Herr Stefan S

Da ich vor ein paar Tagen ebenfalls eine Meldung erhielt, platziere ich die Botschaft auch kurz. Leider habe ich keine Ahnung, ob dies weiter hilft.

Das Formular funktioniert. Alles gut.

Alles Gute und besten Dank.

Viele Grüsse

elch

Zitat

Informationen zur Sicherheitslücke

Es wurde ein Sicherheitsrisiko in folgender Datei gefunden:

public_html/heubeere-web/assets/php/formmailer/mailer/class.phpmailer.php

Diese Datei gehört zur Website heubeere.ch mit dem CMS PHPMailer und wurde am 15.05.2021 gepatcht.

• [CVE-2020-36326 - CVE-2018-19296] Object injection

  CVE-2020-36326 - An external file could be unexpectedly executable if it was used as a path to an attachment file via PHP's support for .phar files`. Exploitation requires that an attacker was able to provide an unfiltered path to a file to attach.

  CVE-2018-19296 - Was vulnerable to an object injection attack by passing phar:// paths into addAttachment() and other functions that could receive unfiltered local paths, possibly lead to RCE.

Alles anzeigen

Ok, danke elch das hilft weiter, durch die CVE-Nummern. Wir sehen zu, dass wir die Bibliothek entsprechend aktualisieren…

Hallo Stefan

Da ich nun also auch eine entsprechende Meldung [CVE-2020-36326 - CVE-2018-19296] Object injection des Provider erhalten habe, wollte ich mal nachfragen ob die entsprechende Bibliothek aktualisiert werden konnte.

Wenn Ja, was muss ich tun um diese Meldung künftig nicht mehr zu erhalten.

Herzlichen dank für deine Unterstützung.

Mit freundlich Gruss

Roland

R. Lehmann die Bibliothek wurde damals dann umgehend in Version 16.1.0 aktualisiert: https://www.zeta-producer.com/de/versionshinweise.html#16-1-0

Wenn Sie noch Version 15.4.1 nutzen, würde das erklären, warum die Aktualisierung sich nicht auf Ihre Website auswirkt. Sie müssten auf die Aktuelle Version 16 aktualisieren.

Gute Morgen Stefan

Da ich zwischenzeitlich mehrere Webseiten & Shops für die unterschiedlichsten Anwender aufgebaut habe, und alle Anwender eigene Lizenzen erworben haben, stellts sich die frage was passiert mit den bestehenden Webseiten wenn ich meine Version von ZP Aktualisiere und weiterhin an den bestehenden Seiten Anpassungen vornehme.

Müssen dann sämtliche Lizenzen erneuert werden, oder muss auf einem zweiten Rechner, mit der alten Version von ZP die Seiten angepasst werden?

Herzlichen Dank für deine Unterstützung

Roland

Wenn ein Projekt in Version 16 geöffnet wird, wird es auf die neue Version konvertiert. Danach wäre es dann nicht mehr möglich dieses Projekt mit einer 15er Version zu öffnen.