CVE-2026-67448 in Mailpit
सारांश
द्वारा VulDB • 21/08/2026
Mailpit डेवलपर्स के लिए एक ईमेल परीक्षण उपकरण और API है। संस्करण 1.29.0 से लेकर 1.30.6 तक, Mailpit का server/server.go मूल मिडलवेरैव /api/ प्रिफ़िक्स के लिए raw RequestURI की जांच करता है जबकि Go's ServeMux प्रतिशत-डीकोडेड URL पथ का उपयोग करके राउटिंग करता है, और server/websockets/client.go websocket.Upgrader.CheckOrigin को सत्य लौटने के लिए कॉन्फ़िगर करता है। एक दुर्भावनापूर्ण वेबसाइट /%61pi/events अनुरोध कर सकती है, corsOriginAccessControl() से बच सकती है, /api/events WebSocket हैंडलर तक पहुँच सकती है, और उपयोगकर्ता की साइट पर जाने के बाद अप्रमाणीकृत डिफ़ॉल्ट Mailpit इंस्टेंस से लाइव संदेश IDs, Message-Id मान, प्रेषक और प्राप्तकर्ता फ़ील्ड, विषय, टैग और बॉडी स्निपेट प्राप्त कर सकती है। यह पूर्व के WebSocket मूल सुरक्षा का एक रgression (पीछे की ओर जाने वाला बदलाव) है और --ui-auth-file द्वारा संरक्षित डिप्लॉयमेंट्स को प्रभावित नहीं करता है। इस मुद्दे को संस्करण 1.30.6 में ठीक किया गया है।
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.