原文

Mailpitは開発者向けのメールテストツールおよびAPIです。バージョン1.30.1以前では、GHSA-fpxj-m5q8-fphw（CVE-2026-45710、「Mailpit: 無制限のSMTP DATAおよび/api/v1/sendのボディサイズによるDoSを防ぐためのデフォルト50MB/月リミット設定」）の修正が`POST /api/v1/send`のみを`http.MaxBytesReader`でラップしていました。他の4つのMailpit JSONボディAPIエンドポイントである`PUT /api/v1/messages`（SetReadStatus）、`DELETE /api/v1/messages`（DeleteMessages）、`PUT /api/v1/tags`（SetMessageTags）、および`POST /api/v1/message/{id}/release`（ReleaseMessage）は依然としてボディサイズ制限なく`json.NewDecoder(r.Body)`を直接呼び出しており、デフォルトの`docker run axllent/mailpit:latest`環境では認証なしでアクセス可能な状態でした。認証なしのリモート攻撃者は、数百万要素の`IDs`スライスを投稿し、RSSメモリ使用量を約25MiBのベースラインから16MBのリクエストボディごとに約450MiBまで増加させることができます。複数の接続で繰り返すことで、プロセスごとに同様のリクエスト増幅が累積します。バージョン1.30.1にてパッチが適用されています。