Письмо, которое ходит за вас: разбираю свежий SSRF в Roundcube на живом стенде

[CitizenOfDreams]

А начиналось все с того, что кому-то захотелось писать письма красивыми цветными буковками и шрифтом Comic Sans.

[CynepMyx]

Именно. Каждая фича, которая рендерит что-то из письма, это ещё один парсер над чужим вводом. Хотели Comic Sans, получили SSRF через CSS. Красота требует жертв, обычно чужих.

[max9]

Разработчики знали про DNS-сервисы, которые резолвят имя вида 10.0.0.1.nip.io в IP 10.0.0.1

чего только не придумают, лишь бы локальный днс не поднимать

[CynepMyx]

И ведь nip.io вещь удобная, для локальной разработки золото. Просто у любого удобного шортката есть тёмная сторона: тут он превратился в готовый обход фильтра приватных адресов. Разработчики Roundcube про nip.io знали и развернули его обратно, а про sslip.io забыли. Одна забытая строчка.