### 邮件功能滥用漏洞

划分多种滥用情况

#### 邮件轰炸漏洞

##### 常见特征

- **关键缺陷**： 对邮件发送功能  **没有设置速率限制**，或者限制措施不完善（如缺失图片验证码、人机校验等），导致可以自动化批量发送邮件
- **危害加重特征**： 即便没有以下特征也能导致邮件轰炸漏洞，但是存在以下特征时危害会加重
    - 允许直接/间接控制邮件的收件人
    - 允许控制邮件发送的部分/全部内容；即便内容不可控也可以通过发送固定内容淹没目标邮箱以及消耗邮件服务额度

##### 无危害特殊情况

邮件发送逻辑完全由内部控制，无法在外部直接/间接触发，如自动发送告警邮件等

#### 邮件内容伪造

##### 常见特征

- **关键缺陷**： 审查构造邮件内容或重置链接时，直接将前端传入的参数（如URL、Host、自定义文本）拼接到邮件模板中且未做白名单校验的风险（导致钓鱼内容注入）
> 关键在于用户可以控制邮件内容，即使过滤了特殊字符等也无法避免被利用进行钓鱼攻击，最佳实践是不允许用户控制邮件内容
