以前は、PHPMailerのコメントにバージョンの表記がありません。17:48viewtopic.php?f=34&t=1724&p=9336#p9336リリース予定の1.0.19Jは対策しておきました。18:10ありがとうございます。1.0.19Jが正式リリースされるまでは、ベータ4「modx-1.0.19J-b4.zip」の、manager/includes/controls/phpmailer/class.phpmailer.phpを使って上書きしておけば、応急措置になりそうですね。11:25PHPMailerの件、まだ対応が続くみたいです。14:02実際には結果的に脆弱性を持たないサイトが多いみたいです。私の解釈としては、今回の脆弱性は以下のようにして確認できると考えています。PHPMailerのファイルの存在自体には問題ありません。サイト上に実装した「問い合わせ主のメールアドレス」欄に入力したメールアドレスが、結果的に「差出人のメールアドレス」としてセットされた形でメールが届くような運用をしている場合に、脆弱性が発露する可能性があります。メールソフトの使い方として、受信したメールに対して返信ボタンをクリックするだけで返事を書けると便利なため、そのようにしているサイトは多いと思います。バックスラッシュ上記の4種類の文字を含むメールアドレスを、サイト上に実装した「問い合わせ主のメールアドレス」欄に入力して送信ボタンをクリックします。メールアドレス文字列として問題ないと判定されて、実際にメールを受け取ることができたら、脆弱性の存在を疑うことができます。PHPMailerに限らず、これらのメールアドレス文字列を許容するスクリプトは危険ということのようです。MODXも数年前まではPHPMailerを使わず自前でメール送信を実装していました。調べていないので分かりませんが、当時の処理も危険だった可能性があります。$patternselect);}上記のようなコードをex_modxmailer.phpに追加すると脆弱性が解決することを確認しました。http://qiita.com/dayone/items/b823aec07ed71bf26c7e今回の件はfilter_varを使えばよいのではという意見もあるようですが、上記の記事のように、現実的にはちょっとどうかなということもあります。コマンドインジェクションの脆弱性」ということになってますが、実際はPHPMailer固有の問題でもなくPHPのmail関数を用いるスクリプトに共通する問題のようですし、OSコマンドを自由に操れるわけではなくsendmailのパラメータでできる範囲に限定されるようです。MODXは実際にどうかというと、コア自体にはFromを外部ユーザが自由に指定してメールを送信できる機能はありませんし、同梱されているeFormスニペットをあえて脆弱な状態にしてフォームを設置しても、危険な文字列はエスケープされて無害な文字列としてFromにセットされてメールが配信されます。いうわけで、どうやっても無害ということになります。コアに入っているPHPMailerを使って脆弱なスクリプトを自作することは可能ですが、それを言い出すともっと簡単に危険なスクリプトを作る方法はいくらでもあるし、残念ながら実際あるので、そこまでは考えなくてよいかなと思います。いうわけで、いちおう次のリリースでPHPMailerを最新版に差し替えることはしますが、現状でも問題ないということが言えると思います。