CVE-2026-54649 in punchin-email
Sumário
de VulDB • 17/09/2026
punchin-email é um Cloudflare Email Worker que fornece aliases de função bidirecionais ao retransmitir e-mails para uma caixa de entrada privada. Antes da versão 1.5.0, handleInbound entrega o email do alias entrante com message.forward(), o que descarta silenciosamente o cabeçalho Reply-To adicionado, destinado a rotear as respostas através do relay. Quando um correspondente envia e-mail para um alias e o operador responde, o cliente de e-mail pode enviar diretamente ao correspondente a partir do endereço da caixa de entrada privada FORWARD_TO, expondo esse endereço. A divulgação é limitada ao próprio endereço de email do operador e não expõe dados de terceiros nem fornece execução de código ou bypass de autenticação. Este problema foi corrigido na versão 1.5.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.