26 декабря было объявлено о том, что в библиотеке PHPMailer обнаружена критическая уязвимость CVE-2016-1003, которая позволяет удаленно выполнить код в контексте web-сервера и скомпрометировать web-приложение.
Joomla! Security центр сообщает, что это не повлияет на Joomla! CMS, так как стандартные расширения используют класс JMail, который имеет необходимую валидацию, поэтому эксплуатация уязвимости в принципе невозможна. Если сторонние расширения напрямую используют Mailer класс, то эксплуатация уязвимости возможна только в том случае, если форма позволяет пользователю указать адрес "from".
Однако, надо отметить, что уже известны уязвимости в различных компонентах форм. Достоверно известно об уязвимости в Chronoforms.
Библиотеку PHPMailer использует большинство популярных CMS в том числе WordPress и Drupal. По заключениям экспертов Drupal достаточно защищен от данной уязвимости, а вот владельцем сайтов на WordPress не повезло и все версии данной CMS содержат уязвимость.
В любом случае мы рекомендуем обновлять CMS вовремя, так как предыдущие версии CMS Joomla содержат, критичные уязвимости.
Источник: cmscafe
