CVE-2026-54649 in punchin-email
Resumen
por VulDB • 2026-09-17
punchin-email es un Cloudflare Email Worker que proporciona alias de roles bidireccionales mientras reenvía el correo a una bandeja de entrada privada. Antes de la versión 1.5.0, handleInbound entrega los correos entrantes con alias mediante message.forward(), lo que descarta silenciosamente el encabezado Reply-To añadido destinado a enrutar las respuestas a través del relay. Cuando un correspondiente envía correo a un alias y el operador responde, el cliente de correo puede enviar directamente al correspondiente desde la dirección privada FORWARD_TO del buzón de reenvío, exponiendo dicha dirección. La divulgación se limita a la propia dirección de correo electrónico del operador y no expone datos de terceros ni proporciona ejecución de código o evasión de autenticación. Este problema está corregido en la versión 1.5.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.