Demo
Demo

www-auth проверенокритичноПишет Хаб

Учётные данные консоли

в конфигурации это строкаwww-auth: hardcoded://mailerq:mailerq

Где проверяются входы в консоль; как и на стороне SMTP, принимается семь схем, и так же, как там, поставочное значение — пароль, который знают все.

Значения

Значения
hardcoded:// · ldap:// · radius:// · users:// · http:// · file:// · exec://
Умолчание
hardcoded://mailerq:mailerq · снято со сборки
применение
нужен перезапуск
где можно задать
в файле конфигурации · ключом запуска · переменной окружения

Подробно

Пакет приезжает с hardcoded://mailerq:mailerq. Узел, установленный из пакета поставщика и выставленный на порт 80 — и то и другое умолчания, — тем самым открыт любому, кто читал документацию. Хаб заменяет это при установке сгенерированным паролем, и это правильное поведение; помнить о нём стоит, когда MailerQ ставит себе сам клиент. Список схем совпадает с smtp-auth: зашитые пары, LDAP, RADIUS, системные пользователи, точка HTTP, файл с хешами паролей или внешняя программа. Зашитых пар можно задать сразу несколько, через запятую, — и вот тут утечка ниже больнее всего. 🔴 Консоль печатает это значение дословно на своём же экране «Config file». Пароли базы и брокера там замаскированы; этот — нет. Кто вошёл, тот прочитает и пароль, которым вошёл, и пароли всех остальных учётных записей. Проверено на стенде.

Что будет, если ошибиться

Оставлено поставочным значением.Консоль открыта любому, кто знает умолчание поставщика, — а оно опубликовано в документации.снято со сборки · вывод
Тот же пароль используется где-то ещё.Всякий, у кого есть доступ к консоли, читает его открытым текстом на экране Config file и теперь имеет его и для другой системы.проверено опытом · вывод