CVE-2026-77136

The extension passes the raw value of a form field configured as "This field contains the name of the sender" directly into a Fluid View as template source, without any sanitization, and renders it. An anonymous, unauthenticated user can submit Fluid template syntax in that field to execute arbitrary Fluid ViewHelpers leading to disclosure of server configuration, environment variables and application source, and potentially remote code execution. Exploitation requires only that a form field is configured as the sender_name field, a common and default-adjacent Powermail configuration. No authentication or user interaction beyond a normal form submission is required. This vulnerability is reported to be actively exploited in the wild.

La extensión pasa el valor en bruto de un campo de formulario configurado como 'Este campo contiene el nombre del remitente' directamente a una Vista Fluid como fuente de plantilla, sin ninguna sanitización, y lo renderiza. Un usuario anónimo, no autenticado, puede enviar sintaxis de plantilla Fluid en ese campo para ejecutar ViewHelpers Fluid arbitrarios, lo que lleva a la divulgación de la configuración del servidor, variables de entorno y código fuente de la aplicación, y potencialmente ejecución remota de código. La explotación requiere solo que un campo de formulario esté configurado como el campo sender_name, una configuración común y adyacente por defecto de Powermail. No se requiere autenticación ni interacción del usuario más allá de un envío de formulario normal. Se informa que esta vulnerabilidad está siendo explotada activamente en la naturaleza.