🇰🇷 한글 설명
sp-php-email-handler PHP 패키지의 취약점으로, 공격자가 임의의 이메일 수신자를 지정하고 확인 이메일에 악의적 콘텐츠를 삽입할 수 있습니다. 이를 통해 스팸, 피싱 이메일을 서버를 통해 발송하여 도메인 평판 손상 및 이메일 제공업체 차단을 초래할 수 있습니다.
💡 쉬운 설명
연락처 양식 처리 도구가 공격자에게 다른 사람에게 이메일을 보내도록 허용합니다. 스팸이나 피싱 이메일을 보내 당신의 서버 평판을 손상시킬 수 있습니다.
🇺🇸 원문 (English)
sp-php-email-handler is a PHP package for handling contact form submissions. Messages sent using this script are vulnerable to abuse, as the script allows anybody to specify arbitrary email recipients and include user-provided content in confirmation emails. This could enable malicious actors to use your server to send spam, phishing emails, or other malicious content, potentially damaging your domain's reputation and leading to blacklisting by email providers. Patched in version 1.0.0 by removing user-provided content from confirmation emails. All pre-release versions (alpha and beta) are vulnerable to this issue and should not be used. There are no workarounds for this issue. Users must upgrade to version 1.0.0 to mitigate the vulnerability.
📍 영향받는 시스템
sp-php-email-handler 버전 1.0.0 미만 (모든 알파/베타 버전 포함)
⚔️ 공격 벡터
공격자가 연락처 양식을 통해 임의의 수신자와 악의적 콘텐츠를 포함한 이메일을 서버에서 전송
🛡️ 대응 방법
sp-php-email-handler을 버전 1.0.0 이상으로 업그레이드
🔧 검증 코드
composer.lock에서 sp-php-email-handler 버전을 확인하여 1.0.0 이상인지 검증하면 패치 적용 여부를 판단할 수 있습니다.
grep -r 'sp-php-email-handler' composer.lock 2>/dev/null | head -1 || echo 'Not found'