Crashmail 1.6 曝出高危漏洞 CVE-2018-25223：远程代码执行风险，CVSS 评分高达 9.8

一款名为 Crashmail 的邮件应用被曝存在一个严重的安全漏洞，攻击者无需任何权限即可远程执行任意代码。该漏洞被标记为 CVE-2018-25223，其通用漏洞评分系统（CVSS）评分高达 9.8 分，属于最高级别的“严重”风险。GitHub 安全公告（GHSA）同样将其归类为“严重”级别，并确认其核心问题是 CWE-787 类型的“越界写入”漏洞。

具体而言，Crashmail 1.6 版本中存在一个基于栈的缓冲区溢出漏洞。远程攻击者可以通过向应用程序发送恶意构造的输入来触发此漏洞。利用此漏洞，攻击者能够构建包含ROP链的载荷，从而在应用程序的上下文中执行任意代码。即使利用尝试失败，也可能导致应用程序崩溃，引发拒绝服务。该漏洞的利用代码已在公开的漏洞数据库 Exploit-DB 中发布，编号为 44331。

此漏洞的公开意味着运行 Crashmail 1.6 的系统正面临直接的、无需用户交互的远程攻击风险。鉴于其高严重性评分和公开的利用细节，所有使用该版本软件的组织和个人应立即采取行动。建议用户检查其部署的 Crashmail 版本，并密切关注官方或社区发布的补丁信息，尽快进行升级或采取其他缓解措施，以防止潜在的大规模入侵和数据泄露事件。