JVNDB-2026-025873

Ralph SlootenのMailpitにおける複数の脆弱性

Mailpitは、開発者向けのメール検証ツールおよびAPIです。バージョン1.30.0以前のMailpitのSMTPサーバには、最大許容DATAペイロードサイズを制御するServer.MaxSizeというintフィールドが存在しますが、このフィールドはテストコード以外で設定されることがなく、Goのゼロ値のままです（0は「無制限」を意味します）。同様に、HTTPの/api/v1/sendエンドポイントも同様で、リクエストボディはjson.NewDecoder(r.Body)でデコードされており、http.MaxBytesReaderは使用されていません。Mailpitのデフォルトのリスナーは[::]:1025（SMTP）と[::]:8025（HTTP）にバインドされており、いずれのリスナーにも認証は必要ありません。そのため、単一のネットワークから到達可能な攻撃者がMailpitに対して任意に大きなメッセージを送り込み、RAM使用量が急増する様子を観察できます。この攻撃では約7〜10倍の増幅係数（生のフレーム → enmimeエンベロープツリー → 検索用テキストインデックス → SQLiteへのzstdでエンコードされた書き込み）が発生します。この攻撃を繰り返す、あるいは複数の接続から同時に実行すると、プロセスはOOMキルに至ります。バージョン1.30.0にはこの問題を解決する修正パッチが含まれています。

Ralph Slooten

• Mailpit 1.30.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated remote memory-exhaustion DoS via unlimited SMTP DATA and /api/v1/send body sizes  Advisory  axllent/mailpit  GitHub

1. リソースの枯渇(CWE-400) [その他]
2. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-45713

1. National Vulnerability Database (NVD) : CVE-2026-45713
2. 関連文書 : Release v1.30.0  axllent/mailpit  GitHub

• [2026年07月30日]
    掲載