AciMailing 6.1.1. содержит уязвимость phpmailer и дорвей

После установки новой версии AciMailing 6.1.1., скачанной из складчины, начали приходить письма mail-роботов о невозможности доставить письма в адреса, на которые я ничего не отправлял. Что есть очевидное свидетельство рассылки от моего имени неизвестно чего и неизвестно кем. Ранее таких причуд на сайте не наблюдалось - сайт изначально под защитой купленной легально AdminTools, все расширения скачаны со складчины, антивирус хостера (nic.ru) ничего не обнаруживал до момента установки AciMailing 6.1.1.

Просканировал сайт Айболитом, получил следующее:

1. Уязвимости в скриптах .../components/com_acym/inc/phpmailer/phpmailer.php - RCE : CVE-2016-10045, CVE-2016-10031
…ar,$replaceByStars,$replaceByReturnChar1,$replaceByReturnChar,$replaceLinks),array('','','','',"\n\n","\n* ","\n","\n",'${2}(${1})'),$html);$text=preg_replace('#(<|&\#60([^\n\r\t])#i','<${2}',$text);$text=str_replace(array(" ","...

Насколько я понимаю, уязвимости CVE-2016-10045, CVE-2016-10031 были устранены в Joomle еще два года назад. Отсюда вопрос - как старый, от 2016 года и уязвимый phpmailer.php мог попасть в новейший релиз AciMailing 6.1.1.,?

2. Дорвеи, реклама, спам-ссылки, редиректы .../administrator/components/com_acym/controllers/campaigns.php
…to earn","In accordance with laws","Cents on the dollar","Fantastic deal","Increase sales","Check or money order","FastViagra delivery","Increase traffic","Claims not to be selling anything","Financial freedom","Insurance","Claims to be i...

Тут и вовсе все весело - "FastViagra delivery" вряд ли вставили разработчики AciMailing 6.1.1.

Отсюда и вопрос - у меня одного такие уязвимости или выставленный на сайте складчины AciMailing 6.1.1. изначально их содержит?

Поскольку, если проблемы не у меня одного, значит, в складчину залили больной компонент и нужно вместо него залить здоровый.

Ну у меня кстате тоже на сайте все только от сюда и тоже появилась похожая фигня

Просканировал Айболитом инсталлятор AcyMailing 6.1.1. - в "пароноидальном" режиме находит аж пять php-скриптов с уязвимостями CVE-2016-10045, CVE-2016-10031 и вышеуказанным дорвеем... (в обычном находит только один, указанный выше).

Выходит, что проблема именно в больном инсталляторе.

Написал на страничку AcyMailing 6.1.1. на складчине просьбу оздоровить инсталлятор, коммент пока на модерации.

Админы видели Ваш коммент и читали данную тему. Разбираются, что не так с архивом.

Вышла новая версия Acymailing. Админы ее проверили и то, что Айболит принимает за уязвимость, ею не является. Что такое Acymailing по сути? Организатор рассылок. А массовые рассылки - это спам, как ни крути. Вот антивирусы и принимают, в нашем случае, безобидные строки кода за дорвеи и прочую заразную хрень.
Сегодня будет выложена на сайте новая версия Acymailing.