一、漏洞详情
PHPMailer是一个用于发送电子邮件的PHP函数包, 可以设定发送邮件地址、回复地址、邮件主题、html网页及上传附件。
1.CVE-2021-34551: 该漏洞是由于在处理$lang_path参数时对setLanguage()方法内用户提供数据的验证不足，远程攻击者可向应用传送一个特殊构造的输入，通过受影响的参数设置UNC路径，从而在系统上执行任意PHP代码。
2. CVE-2021-3603: 该漏洞是由于输入验证不当，可允许未受信任的代码从地址验证器运行。远程攻击者可通过发送一个特殊构造的请求，从而在目标系统上执行任意代码。
攻击者可利用这些漏洞在目标系统上执行任意代码。建议受影响用户及时将PHPMailer升级至6.5.0版本进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。
二、影响范围
PHPMailer <= 6.4.1
三、修复建议
建议用户将PHPMailer升级至6.5.0版本进行防护。
下载地址：https://github.com/PHPMailer/PHPMailer