漏洞背景

当发送电子邮件时，邮件会经过多个服务器（SMTP中继、垃圾邮件过滤器、日志和备份系统）。这些服务器可能存储或记录所有信息，包括邮件内容（如发件人IP地址）。即使邮件使用TLS传输加密，内容在每台处理服务器上仍会被解密。

技术风险

1. PII数据暴露
   IP地址根据GDPR等法规可被归类为个人身份信息（PII），可能泄露：

   • 用户大致地理位置
   • 互联网服务提供商
   • 可能暴露设备名/组织的主机名
   • 与其他用户活动的关联性

2. 攻击者利用场景

   • 通过IP进行网络侦察
   • 设备/ISP指纹识别
   • 端口扫描和服务发现
   • 结合其他数据泄漏进行OSINT聚合
   • 基于ISP/地理位置的定向攻击

修复方案

建议措施：

• 避免在外发邮件中包含原始IP地址
• 改为提供近似位置（城市/国家）
• 引导用户通过安全仪表盘查看登录活动

技术参考：

• GDPR第30条
• CWE-200
• CWE-359

处理进展

Weblate团队已通过GitHub提交修复补丁（PR#15102），并计划发布安全公告。该漏洞状态已标记为"已修复"。