CVE-2026-54649

Nome do Software Vulnerável e Versões Afetadas punchin-email versões anteriores a 1.5.0

Description o punchin-email é um Cloudflare Email Worker que fornece aliases de função bidirecionais ao retransmitir e-mails para uma caixa de entrada privada. A função handleInbound() entrega e-mails de alias recebidos usando message.forward(), que remove silenciosamente o cabeçalho Reply-To adicionado, destinado a rotear as respostas através do retransmissor. Consequentemente, quando um operador responde a um e-mail enviado para um alias, o cliente de e-mail pode enviar a resposta diretamente do endereço privado da caixa de entrada FORWARD TO, expondo esse endereço ao correspondente. Esta divulgação limita-se ao próprio endereço de e-mail do operador e não permite a ignorar a autenticação, a execução de código ou a exposição de dados de terceiros.

Recommendations Atualize o punchin-email para a versão 1.5.0.