[SPIP Zone] phpMailer

Debondt_Didier · Décembre 28, 2016, 9:22

Hello,

Je pense qu'il va encore y avoir du travail sur Facteur :

https://legalhackers.com/advisories/PHPMailer-Exploit-Remote-Code-Exec-CVE-2016-10045-Vuln-Patch-Bypass.html

b_b · Décembre 28, 2016, 12:06

Hop,

Le 28/12/2016 à 10:22, Phenix a écrit :

Hello,

Je pense qu'il va encore y avoir du travail sur Facteur :

PHPMailer-Exploit-Remote-Code-Exec-CVE-2016-10045-Vuln-Patch-Bypass

Merci pour le signalement, il y a déjà eu un patch à ce sujet cf :

github.com/PHPMailer/PHPMailer

Fix for CVE-2016-10045 and CVE-2016-10033

master ← namepros:master

ouvert 07:39AM - 28 Dec 16 UTC

Zenexer

+6 -2

Fixes #924. Needs to be tested to ensure no significant functionality is broken…. Will avoid sending -f argument to sendmail when it's deemed unsafe to do so. Note that while this is a big step forward, more work needs to be done to increase security on Windows. `sendmail` and `mail` transport options should not be used on Windows for the time being.

Et un deuxième est attente de merge :

Je m'occupe de mettre à jour facteur dès la prochaine release de PHPMailer.

++
b_b

RealET · Décembre 28, 2016, 3:50

Bruno Bergot a écrit le 28/12/2016 à 13:06 :

Hop,

Le 28/12/2016 à 10:22, Phenix a écrit :

Hello,

Je pense qu'il va encore y avoir du travail sur Facteur :

PHPMailer-Exploit-Remote-Code-Exec-CVE-2016-10045-Vuln-Patch-Bypass

Merci pour le signalement, il y a déjà eu un patch à ce sujet cf :

Fix for CVE-2016-10045 and CVE-2016-10033 by Zenexer · Pull Request #929 · PHPMailer/PHPMailer · GitHub

Et un deuxième est attente de merge :

CVE-2016-10033, CVE-2016-10045: More patches, stricter anti-escaping by Zenexer · Pull Request #930 · PHPMailer/PHPMailer · GitHub

Je m'occupe de mettre à jour facteur dès la prochaine release de PHPMailer.

5.2.21 sortie :

github.com

PHPMailer/PHPMailer/blob/v5.2.21/changelog.md

# ChangeLog

## Version 5.2.21 (December 28th 2016)
* Fix missed number update in version file - no functional changes

## Version 5.2.20 (December 28th 2016)
* **SECURITY** Critical security update for CVE-2016-10045 please update now! Thanks to [Dawid Golunski](https://legalhackers.com) and Paul Buonopane (@Zenexer).

## Version 5.2.19 (December 26th 2016)
* Minor cleanup

## Version 5.2.18 (December 24th 2016)
* **SECURITY** Critical security update for CVE-2016-10033 please update now! Thanks to [Dawid Golunski](https://legalhackers.com).
* Add ability to extract the SMTP transaction ID from some common SMTP success messages
* Minor documentation tweaks

## Version 5.2.17 (December 9th 2016)
* This is officially the last feature release of 5.2. Security fixes only from now on; use PHPMailer 6.0!
* Allow DKIM private key to be provided as a string
* Provide mechanism to allow overriding of boundary and message ID creation

Ce fichier a été tronqué. afficher l'original

--
RealET

b_b · Décembre 28, 2016, 4:41

Et hop,

++
b_b

Le 28/12/2016 à 16:50, RealET a écrit :

5.2.21 sortie :
PHPMailer/changelog.md at v5.2.21 · PHPMailer/PHPMailer · GitHub