XSS-Lücke in PHPMailer 5.2.23

[webald <elertsm@…>]

​https://nvd.nist.gov/vuln/detail/CVE-2017-11503
bzw.
​https://github.com/PHPMailer/PHPMailer/blob/master/changelog.md

[h-h-h]

Und, kannst du mir sagen wie modified davon betroffen ist?

[Torsten Riemer]

In 11059:

fix #1398 - update PHPMailer to 5.2.25

[FräuleinGarn]

Danke fürs schließen des Tickets. Aber auch hier wird die Updateversion wieder vom Support der nicht mehr sicheren Php Version 5.4 bestimmt. Ich wäre dafür den Support für Php 5.4 einzustellen. Dann hätte man hier auch auf Version 6 updaten können. Bei der nächsten gefundenen Lücke in php-Mailer muss das wieder gefixt werden. So ist das doppelte Arbeit.

Gibts eine Möglichkeit das schon selbst vorher einzupflegen, bevor 2.0.4.0 oder anders lautendes Update kommt?

[Torsten Riemer]

Nachfolgend die Dateien der Korrektur aus r11059.

[FräuleinGarn]

Super Danke dir.

Übrigens wird eine zu kurze ANtwort hier als Spam gewertet und man wird gebeten Daten eines Captcha einzugeben, dass aber gar nicht vorhanden ist.

[FräuleinGarn]

kein Captcha

[FräuleinGarn]

Es gibt noch eine Version 5.2.26, die wohl auch noch kompatible zu PHP 5.4 ist und eine weitere XSS Angriffsmöglichkeit schließt.

Sind nur marginale Änderungen. Vielleicht kann man das noch einpflegen.

[Torsten Riemer]

In 11070:

fix #1398 - update PHPMailer to 5.2.26

[Torsten Riemer]

In 11071:

fix #1398 - update PHPMailer to 5.2.26

[Gerhard Waldemair]

In 11103:

fix #1398 - update PHPMailer to 6.0.3