تجاوز التفويض عبر مطالبة صندوق البريد في نقطة النهاية /api/create في FreeMail قبل النسخة 5.3.2

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تحتوي FreeMail قبل النسخة 5.3.2 على ثغرة تجاوز تفويض تسمح للمستخدمين الذين يملكون حسابات مصادق عليها بالمطالبة بصندوق بريد موجود لمستخدم آخر عبر نقطة النهاية POST /api/create. يمكن للمهاجمين الذين يعرفون عنوان الضحية أن يصبحوا مالكين مشاركين عبر الدالة assignMailboxToUser لقراءة الرسائل ورموز التحقق، وتعيين إعادة توجيه، وحذف البريد.

المعالجة

1. أحصِ جميع نشرات idinging FreeMail، بما فيها بيئات الاختبار.
2. رقِّ idinging FreeMail إلى الإصدار 5.3.2.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/idinging/freemail/commit/62ed3afdbb4de90a135c12de928e586caf01b5a1
• تحذيرhttps://www.vulncheck.com/advisories/freemail-before-5.3.2-authorization-bypass-via-api-create-mailbox-claiming
• مرجعhttps://github.com/idinging/freemail
• مرجعhttps://github.com/idinging/freemail/blob/a95c1710e7eeb9f2c74a49ef962f4f43a36695b3/src/db/users.js#L137-L163
• مرجعhttps://github.com/idinging/freemail/issues/73
• مرجعhttps://github.com/idinging/freemail/releases/tag/v5.3.2