FICHE CVE

CVE-2016-10033

Publiée le 2016-12-30 · Dernière modification le 2026-06-17 KEV — activement exploitée

🇫🇷 EN BREF

Les versions de PHPMailer antérieures à la 5.2.18 sont affectées par une faille dans la manière dont le transport `isMail` gère la propriété Sender. Un attaquant distant et non authentifié peut injecter des paramètres malveillants dans la commande de courrier pour exécuter du code arbitraire sur votre serveur. Cette faille est facile à exploiter via le réseau et ne nécessite aucune interaction de la part de l'utilisateur.

ACTIVEMENT EXPLOITÉE (KEV DE LA CISA)

PHPMailer Command Injection Vulnerability — PHPMailer contains a command injection vulnerability because it fails to sanitize user-supplied input. Specifically, this issue affects the 'mail()' function of 'class.phpmailer.php' script. An attacker can exploit this issue to execute arbitrary code within the context of the application. Failed exploit attempts will result in a denial-of-service condition. Ajoutée au catalogue KEV de la CISA le 2025-07-07. Date limite de correction (agences fédérales américaines) : 2025-07-28.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

CWE-88

Publiée2016-12-30

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The mailSend function in the isMail transport in PHPMailer before 5.2.18 might allow remote attackers to pass extra parameters to the mail command and consequently execute arbitrary code via a \" (backslash double quote) in a crafted Sender property.