San PwnScriptum, che scriveva codice nei log della posta

Patrono dei form di contatto, della funzione mail() di PHP e di chi passa l'indirizzo dell'utente al mittente di sistema.

Vita

A fine dicembre 2016 Dawid Golunski divulgò PwnScriptum, una famiglia di difetti in PHPMailer, SwiftMailer e Zend Mail. La funzione mail() di PHP passava il suo quinto parametro a sendmail attraverso una shell: con la sintassi delle stringhe tra virgolette si potevano iniettare argomenti extra, come l'opzione -X di Sendmail, che scrive un file di log a scelta. Mettendo codice PHP nel corpo del messaggio e il log in una cartella web, bastava un form di contatto per arrivare all'esecuzione di codice.

Preghiera

O San PwnScriptum, che trasformi un form di contatto in una shell, fa' che i nostri indirizzi email restino dati e non argomenti. Amen.

Come si festeggia

Si festeggia aggiornando PHPMailer alla 5.2.18 e validando ogni indirizzo prima di affidarlo a mail().

Form di contatto senza controlli, posta che scotta.