🇰🇷 한글 설명
Inbox Zero 2.29.3 이전 버전의 cleaner email stream endpoint가 공유된 Redis 구독 리스너를 사용하여, 동시에 cleaner 기능을 사용하는 다른 인증된 계정의 이메일 스레드 이벤트를 전달받을 수 있는 정보 노출 취약점입니다. 이를 통해 다른 사용자의 이메일 데이터가 유출될 수 있습니다.
💡 쉬운 설명
Inbox Zero의 이메일 정리 기능 사용 중 다른 사람의 이메일 정보가 실수로 당신에게 보일 수 있습니다. 2.29.3 버전으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
Inbox Zero is an AI personal assistant for email. Prior to 2.29.3, the cleaner email stream endpoint used a shared Redis subscription listener, which could deliver thread events for one authenticated account to another authenticated account using the cleaner feature at the same time. This vulnerability is fixed in 2.29.3.
📍 영향받는 시스템
Inbox Zero 2.29.3 이전 모든 버전
⚔️ 공격 벡터
동시에 cleaner 기능을 사용하는 다른 계정과의 Redis 구독 리스너 공유를 통한 크로스-계정 데이터 유출
🛡️ 대응 방법
Inbox Zero를 2.29.3 버전 이상으로 업데이트
🔧 검증 코드
설치된 버전이 2.29.3 이상이면 안전하고, 2.29.3 미만이면 즉시 업데이트 필요
grep -r 'inbox-zero' package.json 2>/dev/null | grep -oE '"[0-9]+\.[0-9]+\.[0-9]+"' || npm list inbox-zero 2>/dev/null | head -2