ثغرة غياب التفويض في emailflare قبل الالتزام cf31f33 عبر مسارات /api/keys

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي emailflare قبل الالتزام cf31f33 على ثغرة غياب التفويض في مسارات خدمة صندوق البريد /api/keys والتي تتيح لأي عضو مصادق عليه سرد مفاتيح API وإنشائها وإلغاؤها. يمكن للمهاجمين توليد مفتاح API عالمي مباشر مقبول بواسطة /v1/send لإرسال بريد من أي نطاق، أو إبطاء المفاتيح الحالية لتعطيل عمليات التكامل.

المعالجة

1. أحصِ جميع نشرات 0xdps emailflare، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تصحيحhttps://github.com/0xdps/emailflare/commit/cf31f33bbb4a324d5353b8a5db0312fedc19618f
• تحذيرhttps://www.vulncheck.com/advisories/emailflare-before-commit-cf31f33-missing-authorization-via-api-keys-routes
• مرجعhttps://github.com/0xdps/emailflare
• مرجعhttps://github.com/0xdps/emailflare/blob/d448ea205937a5e82683f89013d4c23159da5b7d/services/inbox-worker/src/routes/keys.ts