一、漏洞详情

PHPMailer是一个用于发送电子邮件的PHP函数包,可以设定发送邮件地址、回复地址、邮件主题、html网页及上传附件。

1.CVE-2021-34551:该漏洞是由于在处理$lang_path参数时对setLanguage()方法内用户提供数据的验证不足，远程攻击者可向应用传送一个特殊构造的输入，通过受影响的参数设置UNC路径，从而在系统上执行任意PHP代码。

2. CVE-2021-3603:该漏洞是由于输入验证不当，可允许未受信任的代码从地址验证器运行。远程攻击者可通过发送一个特殊构造的请求，从而在目标系统上执行任意代码。

攻击者可利用这些漏洞在目标系统上执行任意代码。建议受影响用户及时将PHPMailer升级至6.5.0版本进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

PHPMailer <= 6.4.1

三、修复建议

建议用户将PHPMailer升级至6.5.0版本进行防护。

下载地址：https://github.com/PHPMailer/PHPMailer