JVNDB-2026-025872

Ralph SlootenのMailpitにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

Mailpitは開発者向けのメールテストツールおよびAPIです。バージョン1.30.1以前では、GHSA-fpxj-m5q8-fphw（CVE-2026-45710、「Mailpit: 無制限のSMTP DATAおよび/api/v1/sendのボディサイズによるDoSを防ぐためのデフォルト50MB/月リミット設定」）の修正が`POST /api/v1/send`のみを`http.MaxBytesReader`でラップしていました。他の4つのMailpit JSONボディAPIエンドポイントである`PUT /api/v1/messages`（SetReadStatus）、`DELETE /api/v1/messages`（DeleteMessages）、`PUT /api/v1/tags`（SetMessageTags）、および`POST /api/v1/message/{id}/release`（ReleaseMessage）は依然としてボディサイズ制限なく`json.NewDecoder(r.Body)`を直接呼び出しており、デフォルトの`docker run axllent/mailpit:latest`環境では認証なしでアクセス可能な状態でした。認証なしのリモート攻撃者は、数百万要素の`IDs`スライスを投稿し、RSSメモリ使用量を約25MiBのベースラインから16MBのリクエストボディごとに約450MiBまで増加させることができます。複数の接続で繰り返すことで、プロセスごとに同様のリクエスト増幅が累積します。バージョン1.30.1にてパッチが適用されています。

Ralph Slooten

• Mailpit 1.30.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Sibling-endpoint memory-exhaustion DoS via unbounded JSON body on /api/v1/messages, /api/v1/tags, and /api/v1/message/{id}/release (incomplete fix of GHSA-fpxj-m5q8-fphw)  Advisory  axllent/mailpit  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-48824

1. National Vulnerability Database (NVD) : CVE-2026-48824
2. 関連文書 : Release v1.30.1  axllent/mailpit  GitHub

• [2026年07月30日]
    掲載