在使用PHP的邮件命令中使用未消毒的post数据是否有危险？

Question

我发现自己正在处理另一个开发人员的代码。据他自己承认，他只是个初学者，所以我想给他一个可靠的建议。

我偶然发现：

<?php

$headerFields = array(
        "From: ".$_POST[...],
        "MIME-Version: 1.0",
        "Content-Type: text/html;charset=utf-8"
    );

    mail("submissions@[...].com","Submission to [...] from " . $_POST[...] . "","New submission to [...]

    Name*: " . $_POST[...] . " [...big-snip...]",
    implode("\r\n", $headerFields)
    );

(编辑量很大，很明显)

我倾向于不经常使用邮件()，但我的本能是用极端的偏见净化一切事物。是否有任何特定的危险，离开这个现状，或是否有人有足够的技能，造成一些损害？

Answer 1

有足够技能的人可以在已发布的字段中注入一些恶意代码并让其执行。修改后的标题。

Injection

关于纯PHP注入，我的快速搜索无法用mail()找到一个示例，但这并不意味着这是不可能的。