JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-025872 Mailpitは開発者向けのメールテストツールおよびAPIです。バージョン1.30.1以前では、GHSA-fpxj-m5q8-fphw（CVE-2026-45710、「Mailpit: 無制限のSMTP DATAおよび/api/v1/sendのボディサイズによるDoSを防ぐためのデフォルト50MB/月リミット設定」）の修正が`POST /api/v1/send`のみを`http.MaxBytesReader`でラップしていました。他の4つのMailpit JSONボディAPIエンドポイントである`PUT /api/v1/messages`（SetReadStatus）、`DELETE /api/v1/messages`（DeleteMessages）、`PUT /api/v1/tags`（SetMessageTags）、および`POST /api/v1/message/{id}/release`（ReleaseMessage）は依然としてボディサイズ制限なく`json.NewDecoder(r.Body)`を直接呼び出しており、デフォルトの`docker run axllent/mailpit:latest`環境では認証なしでアクセス可能な状態でした。認証なしのリモート攻撃者は、数百万要素の`IDs`スライスを投稿し、RSSメモリ使用量を約25MiBのベースラインから16MBのリクエストボディごとに約450MiBまで増加させることができます。複数の接続で繰り返すことで、プロセスごとに同様のリクエスト増幅が累積します。バージョン1.30.1にてパッチが適用されています。 cpe:/a:axllent:mailpit https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-025872.html Common Vulnerabilities and Exposures (CVE) CVE-2026-48824 https://www.cve.org/CVERecord?id=CVE-2026-48824 National Vulnerability Database (NVD) CVE-2026-48824 https://nvd.nist.gov/vuln/detail/CVE-2026-48824 GitHub Sibling-endpoint memory-exhaustion DoS via unbounded JSON body on /api/v1/messages, /api/v1/tags, and /api/v1/message/{id}/release (incomplete fix of GHSA-fpxj-m5q8-fphw) Advisory axllent/mailpit GitHub https://github.com/axllent/mailpit/security/advisories/GHSA-28pq-6qxg-wg5r JVNDB CWE-770 https://cwe.mitre.org/data/definitions/770.html 関連文書 Release v1.30.1 axllent/mailpit GitHub https://github.com/axllent/mailpit/releases/tag/v1.30.1 2026-07-30T09:55:08+09:00 2026-07-30T09:55:08+09:00