Sicherheitslücke class.phpmailer.php - Massiver Spam über libraries/vendor/phpmailer/phpmailer/class.phpmailer.php

    Hallo Allen,


    ich hatte jetzt was ganz Komisches. Es wurde jede Menge SPAM versendet und ich hab mal via php.ini den Mailverkehr mitloggen lassen. Dabei stellte sich heraus, das die libraries/vendor/phpmailer/phpmailer/class.phpmailer.php diesen versendet.

    Ich hab darauf hin alle Plugins und Module deaktiviert, die irgendwas mit Kontakt oder Mail zu tun hatten. (hatte nur den Visform Mailer installiert (mit Capcha), welcher aber selber auch nur die PHP Klasse von Joomla nutzt)

    -> SPAM kein Ende

    Dann der class.phpmailer.php die Rechte entzogen, Eins nach dem Anderen, am Ende hatte an dem Skript gar keiner mehr Lese- oder Schreibrechte für irgend wen oder was. Selbst mit Null! Rechten wurde darüber immer noch Versendet. Wie bitte geht das denn?

    Erst als ich die Datei umbenannt hatte war Ruhe.

    Ich denk, dass da was ganz und gar nicht stimmt.
    Hatte jemand ähnliches erlebt?


    Danke

    Gruß Haxley

    Joomla! 3.9.21 Stable

    PHP 7.2.2

    Das Interessante ist, dass nach der URL mit /index.php?option=com_contact&view=contact&id=1 ein Formular aufgerufen wird, das es gar nicht gibt.

    Es gibt dazu nichts unter Kategorien oder Beiträgen. Ich habe sogar die Datenbank durchgeschaut und auch da nichts gefunden.
    Ich vermute das es ein Überbleibsel eines uralten MailerForms ist, das nicht sauber deinstalliert wurde.

    Nun frage ich mich aber wie das deaktiviert werden kann, wenn es das garnicht gibt.
    Dazu natürlich noch die Frage, wie ein Skript das Null Rechte hat noch arbeiten darf?

    Danke Gruß Haxley

    > Stellt sich immer noch die Frage wieso eine Datei ohne Rechte ausgeführt werden kann?

    Die Datei wird nicht ausgeführt, sondern der Code per require in einer anderen PHP-Datei eingebunden, braucht also kein executable flag.


    Warum das lesen ohne r flag möglich war kann ich von außen nicht beurteilen, da gibts diverse Sonderkonstellationen die da die Ursache sein könnten. Ist letztlich aber in meinen Augen auch nicht so relevant, weil der Mailer ja nicht die eigentliche Lücke war, sondern das ungesicherte Mailformular.