Názor k článku PHPMailer má kritickou chybu, ohrožuje miliony webů od Vladimír Smitka - Objevitel zranitelnosti právě upozorňuje, že v případě použití...

Objevitel zranitelnosti právě upozorňuje, že v případě použití validace podle RFC tam jde parametry dostat, protože RFC umožňuje používat mezery v uvozovkách - viz PoC https://legalhackers.com/advisories/PHPMailer-Exploit-Remote-Code-Exec-CVE-2016-10033-Vuln.html

Osobně tedy mezery v mailu ve validaci zakazuji, ale před pár lety jsem zakazoval i +, které se nyní používá stále více...