关键漏洞信息 1. CVE-2021-3603 受影响版本: PHPMailer 6.4.1 及更早版本 漏洞描述: 当 参数设置为 且全局命名空间包含名为 的函数时，可能导致不受信任的代码执行。 修复: 6.5.0版本通过拒绝使用简单字符串作为验证器函数名来缓解此漏洞。 2. CVE-2021-34551 受影响版本: PHPMailer 6.4.1 及更早版本 漏洞描述: 通过 参数传递未过滤的用户输入，可能导致远程代码执行，前提是服务器可以从UNC路径加载文件，并且攻击者能控制该路径下的脚本文件。 修复: 6.5.0 版本通过不再将翻译文件作为PHP代码处理，而是解析其文本内容来避免执行未知代码。 3. CVE-2020-36326 受影响版本: PHPMailer 6.1.8 到 6.4.0 漏洞描述: 由于修复 Windows UNC 路径问题引入的对象注入漏洞回归。 修复: 6.4.1 版本修复了此问题，并对 URL 方案进行更严格的检查。 4. CVE-2020-13625 受影响版本: PHPMailer 6.1.5 及更早版本 漏洞描述: 附加文件名包含双引号字符时的输出转义错误，可能导致文件附件绕过基于文件名扩展名的附件过滤器。 修复: 尚未发现具体的漏洞，但作为一种预防措施进行了修复。 5. CVE-2018-19296 受影响版本: PHPMailer 6.0.6 和 5.2.27 之前的版本 漏洞描述: 通过 和其他可能接收未过滤本地路径的函数传递 路径可能导致远程代码执行。 修复: 阻止使用包含 URL 协议风格前缀的路径。 其他 XSS 漏洞: 5.2.24 之前的版本在代码示例中存在 XSS 漏洞（CVE-2017-11503）。 本地文件披露: 5.2.22 之前的版本存在本地文件披露漏洞（CVE-2017-5223）。 远程代码执行: 多个版本存在各种远程代码执行漏洞，如 CVE-2016-10045, CVE-2016-10033, CVE-2015-8476 等。