PHPのmail関数、mb_send_mail関数のマニュアルに警告が追記されていた

昨日の記事PHPMailerの脆弱性CVE-2016-10033について解析したにて、PHPMailerの脆弱性CVE-2016-10033の原因はmail関数が内部で呼んでいるescapeshellcmd関数の仕様が原因であると指摘しました。そして、mail関数の危険性については、小邨孝明さんが2013年12月23日の記事にて指摘していました。 mb_send_mail関数(mail関数も同様)ですが、第5引数(additional_parameter)にユーザの入力を使用する場合は注意が必要です。mb_send_mail関数の第5引数は、内部でescapeshellcmd(内部関数名:php_escape_shell_cmd)によって引数の文字列全体がエスケープされます。 escapeshellcmd() は、以前に徳丸さんから OS コマンドインジェクションの防止には不適切であると指

[rti7743]

escapeshellcmdではなくescapeshellargにしないのか？と思ったけど、これってユーザが複数パラメタを渡したい時があるからargにできないんだろうなと思った。それならば文字列ではなくarrayパラメタ配列版追加すればよくね

[deep_one]

「第5引数(additional_parameter)にユーザの入力を使用する場合」問題なかった。

[yuta_hayakawa]

おっと……結構昔からってこと……？

[ockeghem]

PHPのmail関数のadditional_parametersの危険性については、2014年はじめにマニュアルに記載されていました