- Shipped
- 23 settembre 2026 alle ore 02:35 UTC
- Author
- Kamo
- Commit
- a0d3c42
POST /api/email/send ha preso request.getFromAddress() direttamente nell'intestazione da e il SMTP Il mittente della busta. - > EmailSmtpService.send e lo stesso override in SmtpOnlyProvider.send for orgs relaying attraverso il proprio SMTP), senza verificare che il Caller aveva qualsiasi pretesa. Il relè del cluster DKIM-segna per dominio dell'intestazione, quindi un @kamocrm.com Da qui DMARC-allineato come chiunque — un altro membro, un esecutivo, o un altro org casella di posta interamente. EmailController#sendEmail ora chiede SendableMailboxService — la stessa enumerazione del raccoglitore composto già pagine attraverso per offrire Dalle scelte — se il membro risolto può inviare come indirizzo richiesto: la propria casella di posta, un alias che possiedono, una casella di posta condivisa che sono stati concessi, o una E' il momento giusto. concedere il privilegio a qualcun altro. Un indirizzo esterno tale set viene rifiutato con 403 prima che il fornitore veda il messaggio. Unset From non è interessato — significa ancora l'indirizzo del collegamento, che la risoluzione del fornitore ha già gated. Controllato ogni altro percorso che può trasportare un Da: risposta/andare e salvareDraft non accetta mai un override a tutti (sempre l'indirizzo del collegamento); Non e' vero. ignora l'organismo di richiesta di indirizzo e invia sempre come casella di posta condivisa concessa; campagna e drip invia la loro elaborazione dal proprio configurato/verified invio identità, non da input per-request. Non e' vero. E' una cosa da fare. questo cambiamento — uno spoofed From attualmente invia (200) invece di essere rifiutato, e canSendAs sarebbe autorizzare un indirizzo che non corrisponde a nessuno dei gruppi del membro.