一个漏洞: 需要屏蔽一些高权限的邮箱

[xiaohuilam]

forsaken-mail/modules/io.js

Lines 33 to 38 in a80cb6c

	socket.on('set shortid', function(id) {
	onlines.delete(socket.shortid);
	socket.shortid = id;
	onlines.set(socket.shortid, socket);
	socket.emit('shortid', socket.shortid);
	})

一个漏洞: 需要屏蔽一些高权限的邮箱, 如下:

• admin@
• administrator@
• webmaster@
• postmaster@
• hostmaster@

根据 webtrust 标准, 屏蔽上述邮箱即可.

否则提供临时邮箱的域名, 会存在被冒签 SSL 的高危漏洞.

POC:

证书地址: https://crt.sh/?id=3842188133

此 SSL 未经过站长授权

[denghongcai]

老仓库本意是提供给大家玩用的……
master 分支已添加了默认的限制