Не открывайте публичный issue. Используйте приватный канал GitHub: Security → Report a vulnerability.
Опишите, что происходит, как воспроизвести и чем это грозит. Мы отвечаем в течение 7 дней и держим вас в курсе до выпуска исправления. Если хотите — укажем вас в благодарностях к релизу.
Приложение работает с чужой почтой и паролями от почтовых ящиков, поэтому критичны:
- обход аутентификации и доступ к чужому ящику;
- утечка или расшифровка сохранённых учётных данных внешних ящиков;
- XSS в теле письма (письма — недоверенный HTML, он санитизируется перед показом);
- SSRF через загрузку внешних ресурсов письма и через настраиваемые адреса интеграций;
- подделка запросов к админскому API и обход проверки прав;
- отключение проверки TLS на пути к внешнему IMAP/SMTP.
- Поведение при заведомо небезопасной конфигурации, о которой сказано в
документации (например,
MAIL_SMTP_VERIFY_TLS=0). - Отсутствие rate limit на публикуемом без обратного прокси экземпляре: приложение рассчитано на работу за nginx/Caddy.
- Отчёты сканеров без подтверждённого сценария эксплуатации.
Исправления выходят в main. Отдельных поддерживаемых веток пока нет — проект
молодой, актуальна последняя версия.