7.1
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
Описание
Оригинално описание
emailflare before commit cf31f33 contains a missing authorization vulnerability in POST /api/inbox/compose that allows authenticated members to send mail as any sender address. Attackers can supply an arbitrary from field, which is passed unchecked to the Cloudflare send call, to impersonate other users or the organization to external recipients.
Засегнати продукти
- 0xdps emailflare: преди cf31f33bbb4a324d5353b8a5db0312fedc19618f
Вид слабост
История
- 3 ноември 2026 Публикувано
Други уязвимости в 0xdps emailflare
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-121730
- https://nvd.nist.gov/vuln/detail/CVE-2026-121730
- https://github.com/0xdps/emailflare/commit/cf31f33bbb4a324d5353b8a5db0312fedc19618f
- https://github.com/0xdps/emailflare
- https://github.com/0xdps/emailflare/blob/d448ea205937a5e82683f89013d4c23159da5b7d/services/inbox-worker/src/routes/inbox/compose.ts
- https://www.vulncheck.com/advisories/emailflare-before-commit-cf31f33-missing-authorization-via-inbox-compose-endpoint