- शिप
- 23 सितंबर 2026 को 2:35 am बजे UTC
- लेखक
- Kamo
- Commit
- a0d3c42
POST/api/email/send ने request.getFromAddress() को सीधे हेडर में और SMTP लिफाफे प्रेषक **************** -> EmailSmtpService.send, और वही SMTPOnlyProvider.send for orgs रिलेटिंग के लिए अपने SMTP के माध्यम से) में ओवरराइड करें, जिसमें कोई भी जांच नहीं की गई कि वह SMTP के माध्यम से रिलेइंग ऑर्ग्स को ओवरराइड करता है। कॉलर के पास इसके लिए कोई दावा है। क्लस्टर रिले DKIM-सिग्न होकर हेडर डोमेन, तो एक हाथ से तैयार @kamocrm.com पहुंचे DMARC से किसी के रूप में संरेखित - दूसरा सदस्य, एक कार्यकारी, या किसी अन्य ऑर्ग का सदस्य पूरी तरह मेलबॉक्स। EmailController#sendEmail अब SendableMailboxService से पूछता है - वही प्रोत्साहन कम्पास पिकर पहले से ही पृष्ठों की पेशकश करने के लिए विकल्प से - क्या हल सदस्य के रूप में भेज सकते हैं अनुरोधित पता: उनके स्वयं के मेलबॉक्स, उनके स्वामित्व वाले एक उपनाम, एक साझा मेलबॉक्स उन्हें दिया गया, या एक ************* किसी अन्य व्यक्ति पर विशेष अनुदान देना। बाहर उस सेट को 403 के साथ मना कर दिया जाता है जब प्रदाता कभी संदेश देखता है। एक unset से unaffected है - यह अभी भी कनेक्शन के अपने पते का मतलब है, जो प्रदाता पहले से ही गेट हो गया। प्रत्येक अन्य पथ की जाँच करें जो एक से ले जा सकते हैं: उत्तर/आगे और सेवड्राफ्ट कभी भी स्वीकार नहीं करते हैं सभी पर ओवरराइड (always कनेक्शन का अपना पता); ************* Address से अनुरोध शरीर को अनदेखा करता है और हमेशा दिए गए साझा मेलबॉक्स के रूप में भेजता है; अभियान और टपक अपने अभियान के स्वयं के कॉन्फ़िगर / सत्यापित भेजने की पहचान से गणना करता है, नहीं प्रति अनुरोध इनपुट से। ************* ********** यह परिवर्तन - एक spoofed वर्तमान में भेजे जाने के बजाय (200) से इनकार कर दिया जा रहा है, और canSendAs होगा किसी भी सदस्य के समूह से मेल खाता है कि एक पता अधिकृत करें।.