通过电子邮件暴露个人IP地址
漏洞描述
当发送电子邮件时，邮件会经过多个电子邮件服务器（SMTP中继、垃圾邮件过滤器、日志、备份）。这些服务器可以存储或记录所有内容，包括消息内容（如您的IP地址）。
即使电子邮件使用TLS（传输中加密），内容在每个处理消息的服务器上都会被解密。
风险分析
IP地址可根据GDPR等法规被归类为个人身份信息（PII），并可能暴露：
- 近似用户位置
- 互联网服务提供商
- 可能揭示机器名称、组织或地理位置的主机名
- 可能与其他用户活动相关联
建议措施
避免在出站电子邮件中包含原始IP地址。相反：
- 提供近似位置（城市/国家），或
- 提示用户登录安全仪表板查看登录活动
这确保了遵循最小权限原则、数据最小化和零信任安全模型。
监管参考
- https://gdpr-info.eu/recitals/no-30/
- https://cwe.mitre.org/data/definitions/200.html
- https://cwe.mitre.org/data/definitions/359.html
影响
攻击者可以利用暴露的IP进行网络侦察，可能导致：
- 指纹识别用户的设备或ISP
- 端口扫描、服务发现或操作系统检测
- 与其他数据泄露进行跟踪或关联（OSINT聚合）
- 基于ISP/地理位置进行恶意软件活动或钓鱼攻击的目标定位
处理过程
2025年6月5日 - micael1提交报告
2025年6月9日 - Weblate工作人员nijel回复，已创建修复补丁：https://github.com/WeblateOrg/weblate/pull/15102
2025年6月16日 - 修复已合并并即将发布，报告状态改为已解决
2025年7月16日 - 报告被公开披露
附加信息
- 报告ID: #3179850
- 严重性: 未评级
- 弱点类型: 隐私侵犯
- CVE ID: 无
- 赏金: 无
报告者后续提出在公开报告中其IP地址被暴露的问题，请求进行审查处理。