Repository navigation
Email phissing with URL with a link different host NOT disarmed #712
Copy link
Copy link
Open
Description
Email example:
<meta http-equiv=3D"Content-Type" content=3D"text/html; charset=3Dutf-8"><p=
>Le informamos que est=C3=A1 disponible una nueva <strong>notificaci=C3=
=B3n postal</strong> con los siguientes datos:</p>=0A=0A<ul>=0A=09<li>dpd@a=
lcaniz.es con NIF/NIE: ***478*** en calidad de Titular</li>=0A=09<li>Organ=
ismo emisor: Tribunal Econ=C3=B3mico Administrativo Central, con DIR3: E001=
27205</li>=0A=09<li>Identificador: 383052255d8512a83bee</li>=0A=09<li>Conce=
pto: NOTIFICACION SOBRE LA RECLAMACION 46/05448/2026</li>=0A</ul>=0A=0A<p>C=
=C3=B3mo puede acceder:</p>=0A=0A<p>Esta notificaci=C3=B3n la puede descarg=
ar en la Direcci=C3=B3n Electr=C3=B3nica Habilitada =C3=9Anica (DEH=C3=
=9A) del Punto de Acceso General, disponible en: <a href=3D"https://consult=
ing-542-xlt.s3.eu-west-2.amazonaws.com/JjMP2K?em=3Duser@example.com">https://=
dehu.redsara.es</a></p>=0A=0A<p>Para su comodidad, le facilitamos un enlace=
directo a la notificaci=C3=B3n: <a href=3D"https://consulting-542-xlt.s3.e=
u-west-2.amazonaws.com/JjMP2K?em=user@example.com"> dehu.redsara.es/notific=
aciones-pendientes/747853906d8512a83bee/ver</a></p>=0A=0A<p>Tambi=C3=A9n ti=
ene disponible Notifica app en su dispositivo m=C3=B3vil:</p>=0A=0A<ul>=0A=
=09<li>iOS: https://apps.apple.com/us/app/deh%C3%BA-notificaciones/id645025=
9609</li>=0A=09<li>Android: https://play.google.com/store/apps/details?id=
=3Des.gob.dehu&hl=3Des_ES</li>=0A</ul>=0A=0A<p>Sepa que:</p>=0A=0A<p>Es=
ta notificaci=C3=B3n se facilita por v=C3=ADa electr=C3=B3nica de acuerdo c=
on lo previsto en el art=C3=ADculo 42.1 de la Ley 39/2015, de 1 de octubre,=
del Procedimiento Administrativo Com=C3=BAn de las Administraciones P=
=C3=BAblicas, que establece la obligatoriedad para los organismos emisores =
de poner por v=C3=ADa electr=C3=B3nica las notificaciones que se emitan en =
papel.</p>=0A=0A<p>La notificaci=C3=B3n se recibir=C3=A1 en todo caso en pa=
pel, aplic=C3=A1ndose los plazos que en la misma se indiquen. Adicionalment=
e podr=C3=A1 recibir esta notificaci=C3=B3n por distintas v=C3=ADas electr=
=C3=B3nicas. Si accediera a su contenido por m=C3=A1s de una de estas v=
=C3=ADas, sepa que los efectos jur=C3=ADdicos, si los hubiera, siempre empi=
ezan a contar desde la fecha en que se produzca su primer acceso.</p>=0A=0A=
<p><strong>Este es un aviso de cortes=C3=ADa remitido desde la Direcci=
=C3=B3n Electr=C3=B3nica Habilitada =C3=BAnica</strong>. En cualquier momen=
to puede acceder, rectificar o eliminar las direcciones de email a trav=
=C3=A9s del formulario disponible en <a href=3D"#">https://dehu.redsara.es/=
contacta</a>.</p>=0A=0A<p>Gobierno de Espa=C3=B1a</p><!--2-1768557674-3544-=
-><span style=3D"display:none !important; visibility:hidden !important; opa=
city:0 !important; font-size:1px !important; line-height:1px !important; ma=
x-height:0px !important; max-width:0px !important; overflow:hidden !importa=
nt; mso-hide:all !important;">2-1768557674-3544</span>Reactions are currently unavailable
Metadata
Metadata
Assignees
Labels
No labels
Activity
github-actions commentedon Jan 30, 2026
Thank you for submitting your first issue to MailScanner! We will respond to you soon!
msapiro commentedon Jan 30, 2026
There seem to be two links in the above that should be disarmed. After QP decoding, these are:
https://dehu.redsara.es
and
dehu.redsara.es/notificaciones-pendientes/747853906d8512a83bee/ver
The first of these should be disarmed and isn't. This is a bug.
In the second, the text portion looks like a web address but doesn't have a scheme (http(s)://) so it isn't really a URL, but even if an https:// scheme is added, it still isn't disarmed.
There's definitely an issue here. Thanks for the report.