ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي emailflare قبل الالتزام cf31f33 على ثغرة غياب التفويض في POST /api/inbox/compose التي تتيح للأعضاء المصادق عليهم إرسال بريد كأي عنوان مرسل. يمكن للمهاجمين توفير حقل from عشوائي، والذي يتم تمريره دون تدقيق إلى استدعاء إرسال Cloudflare، لانتحال صفة مستخدمين آخرين أو المؤسسة للمستلمين الخارجيين.
المعالجة
المراجع
- تصحيحhttps://github.com/0xdps/emailflare/commit/cf31f33bbb4a324d5353b8a5db0312fedc19618f
- تحذيرhttps://www.vulncheck.com/advisories/emailflare-before-commit-cf31f33-missing-authorization-via-inbox-compose-endpoint
- مرجعhttps://github.com/0xdps/emailflare
- مرجعhttps://github.com/0xdps/emailflare/blob/d448ea205937a5e82683f89013d4c23159da5b7d/services/inbox-worker/src/routes/inbox/compose.ts