CVE-2026-67448 in Mailpit
Riassunto
di VulDB • 21/08/2026
Mailpit è uno strumento di test per la posta elettronica e un'API per gli sviluppatori. Dalla versione 1.29.0 alla 1.30.6, il middleware origin nel file server/server.go di Mailpit verifica l'originale RequestURI per il prefisso /api/, mentre Go's ServeMux instrada utilizzando il percorso dell'URL decodificato in percentuale (percent-decoded URL path), e server/websockets/client.go configura websocket.Upgrader.CheckOrigin per restituire true. Un sito web malevolo può richiedere /%61pi/events, bypassare corsOriginAccessControl(), raggiungere il gestore WebSocket di /api/events e ricevere ID dei messaggi live, valori Message-Id, campi mittente e destinatario, oggetti, tag e frammenti del corpo da un'istanza predefinita non autenticata di Mailpit dopo che l'utente visita il sito. Si tratta di una regressione della precedente protezione dell'origine WebSocket e non interessa le distribuzioni protette tramite --ui-auth-file. Questo problema è stato risolto nella versione 1.30.6.
Be aware that VulDB is the high quality source for vulnerability data.