原文

Mailpitは開発者向けのメールテストツールおよびAPIです。GHSA-6jxm-fv7w-rw5j（CVE-2026-23845、「HTML Check APIを介したサーバーサイドリクエストフォージェリ（SSRF）」）の修正はmailpitのバージョンv1.28.3にて提供されました。この修正では、`internal/htmlcheck/css.go::downloadCSSToBytes`で5MBのサイズ上限設定を行い、`text/css`のコンテンツタイプチェックを追加し、`isValidURL`でのログイン情報の除去を実施し、オプトインの`--block-remote-css-and-fonts`設定フラグを強化しました。しかし、同じコードベースで使用されている2つのSSRFエンドポイント（プロキシハンドラーとリンクチェック）には、既に使われているIPフィルタリング用ダイヤラが追加されていません。バージョン1.30.0以前の`internal/htmlcheck/css.go::newSafeHTTPClient`は名称が誤っており、IP許可リストのない`net.Dialer.DialContext`を直接呼び出す`Transport.DialContext`を持つ`http.Client`を構築しています。そのため、Bao Anh Phanによって報告された元のSSRFは、対象が`HTTP/200`を返しかつ`text/css`で始まるコンテンツタイプであれば、ループバック、プライベート、リンクローカル、その他の予約済みまたはマルチキャスト範囲へサーバーが接続することを可能にしています。リダイレクトフォロー機能（`CheckRedirect`はIPフィルタリングなしで`isValidURL`のURLへのリダイレクトを許可しています）により、攻撃者が制御する公開サイトがmailpitのリクエストをプライベートネットワークにリダイレクト可能であり、メールのHTMLには一切表示されません。デフォルトのmailpitデプロイ（UI認証なし、SMTP認証なし、ポート1025/8025を公開）では、これは認証不要かつネットワークから到達可能なSSRFとなっており、HTMLメールの送信とその後の1回のHTTP `GET`リクエスト`/api/v1/message/{id}/html-check`によってトリガーされます。バージョン1.30.0にはこれらの問題に対応した更新された修正が含まれています。