🇰🇷 한글 설명
PHPMailer 5.2.14 이전 버전의 validateAddress와 sendCommand 함수에서 CRLF 주입 취약점을 허용하여, 공격자가 이메일 주소나 SMTP 명령어에 줄바꿈 문자를 포함시켜 임의의 SMTP 명령을 실행할 수 있습니다. 이를 통해 스팸 메일 전송, 메일 헤더 조작, 피싱 공격 등이 가능합니다.
💡 쉬운 설명
PHPMailer에서 특수 줄바꿈 문자를 삽입하면 메일 서버가 공격자의 명령을 따르도록 만들 수 있는 취약점입니다. 이를 통해 스팸 메일 발송이나 누군가의 이름으로 가짜 메일을 보낼 수 있습니다.
🇺🇸 원문 (English)
Multiple CRLF injection vulnerabilities in PHPMailer before 5.2.14 allow attackers to inject arbitrary SMTP commands via CRLF sequences in an (1) email address to the validateAddress function in class.phpmailer.php or (2) SMTP command to the sendCommand function in class.smtp.php, a different vulnerability than CVE-2012-0796.
📍 영향받는 시스템
PHPMailer 5.2.13 이하 모든 버전
⚔️ 공격 벡터
이메일 주소 또는 SMTP 명령 매개변수에 CRLF 문자(\r\n 또는 %0D%0A)를 삽입하여 SMTP 프로토콜 명령 주입
🛡️ 대응 방법
PHPMailer를 5.2.14 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 5.2.14 이상이면 안전하고, 5.2.13 이하면 즉시 업그레이드 필요
composer show phpmailer/phpmailer 2>/dev/null | grep -i version | awk '{print $2}'