Vlákno názorů k článku PHPMailer má kritickou chybu, ohrožuje miliony webů od John Deere - Netyka se to nahodou jen pseudoprogramatoru kteri nevaliduji...

Záleží na kontraktu API – jestli je vyžadována validní emailová adresa, nebo jestli to API slibuje zvalidovat.

Dále si nejsem jist všemi edge cases – jestli existuje validní vstup, kterým by šlo provést útok. Nevím, kterým shellem je to interpretováno (hádám /bin/sh), ani do detailu které přesně znaky jsou povolené v e-mailové adrese.

Objevitel zranitelnosti právě upozorňuje, že v případě použití validace podle RFC tam jde parametry dostat, protože RFC umožňuje používat mezery v uvozovkách - viz PoC https://legalhackers.com/advisories/PHPMailer-Exploit-Remote-Code-Exec-CVE-2016-10033-Vuln.html

Osobně tedy mezery v mailu ve validaci zakazuji, ale před pár lety jsem zakazoval i +, které se nyní používá stále více...