0 Releases 14 Tags

• v2026.07.13 459e19cbb8

  Compare

  fix: SSRF 加固增强 — 拒绝内网/回环/链路本地 IPv4 邮箱服务器地址

  gitadmin tagged this 2026-07-13 16:41:16 +08:00 | 4 commits to main since this tag

  响应 push 安全审查：settings VALIDATORS 的 isValidHost 增加内网 IPv4 字面量
  检测，拒绝 0/8、10/8、127/8（回环）、169.254/16（链路本地/云元数据）、
  172.16/12、192.168/16、100.64/10（CGNAT），防止 imap/pop3/smtp 服务器地址
  被指向内网主机（SSRF 纵深防御）。

  未做 DNS 解析 + rebinding 防御：host 需 monitor:write 权限修改、且为 POP3/TLS
  协议连接（非 HTTP），对 admin-only 邮箱配置属过度设计。IPv6 字面量含 ':'
  已被字符集正则天然拒绝。

  Downloads

  • Source Code (ZIP)
  • Source Code (TAR.GZ)