JVNDB-2026-025876

Ralph SlootenのMailpitにおけるサーバサイドのリクエストフォージェリの脆弱性

Mailpitは開発者向けのメールテストツールおよびAPIです。GHSA-6jxm-fv7w-rw5j（CVE-2026-23845、「HTML Check APIを介したサーバーサイドリクエストフォージェリ（SSRF）」）の修正はmailpitのバージョンv1.28.3にて提供されました。この修正では、`internal/htmlcheck/css.go::downloadCSSToBytes`で5MBのサイズ上限設定を行い、`text/css`のコンテンツタイプチェックを追加し、`isValidURL`でのログイン情報の除去を実施し、オプトインの`--block-remote-css-and-fonts`設定フラグを強化しました。しかし、同じコードベースで使用されている2つのSSRFエンドポイント（プロキシハンドラーとリンクチェック）には、既に使われているIPフィルタリング用ダイヤラが追加されていません。バージョン1.30.0以前の`internal/htmlcheck/css.go::newSafeHTTPClient`は名称が誤っており、IP許可リストのない`net.Dialer.DialContext`を直接呼び出す`Transport.DialContext`を持つ`http.Client`を構築しています。そのため、Bao Anh Phanによって報告された元のSSRFは、対象が`HTTP/200`を返しかつ`text/css`で始まるコンテンツタイプであれば、ループバック、プライベート、リンクローカル、その他の予約済みまたはマルチキャスト範囲へサーバーが接続することを可能にしています。リダイレクトフォロー機能（`CheckRedirect`はIPフィルタリングなしで`isValidURL`のURLへのリダイレクトを許可しています）により、攻撃者が制御する公開サイトがmailpitのリクエストをプライベートネットワークにリダイレクト可能であり、メールのHTMLには一切表示されません。デフォルトのmailpitデプロイ（UI認証なし、SMTP認証なし、ポート1025/8025を公開）では、これは認証不要かつネットワークから到達可能なSSRFとなっており、HTMLメールの送信とその後の1回のHTTP `GET`リクエスト`/api/v1/message/{id}/html-check`によってトリガーされます。バージョン1.30.0にはこれらの問題に対応した更新された修正が含まれています。

Ralph Slooten

• Mailpit 1.28.3 以上 1.30.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Incomplete fix for GHSA-6jxm-fv7w-rw5j: HTML check still permits SSRF to private/loopback/IMDS via missing IP-filter dialer  Advisory  axllent/mailpit  GitHub

1. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-45709

1. National Vulnerability Database (NVD) : CVE-2026-45709
2. 関連文書 : Release v1.30.0  axllent/mailpit  GitHub

• [2026年07月30日]
    掲載