CVE-2026-45713 in mailpit
要約
〜によって VulDB • 2026年07月20日
Mailpitは、開発者向けのメールテストツールおよびAPIです。バージョン1.30.0より前では、許可される最大DATAペイロードサイズを制御するServer.MaxSize intフィールドが存在しますが、このフィールドはテストコード以外でどこにも割り当てられておらず、Goのゼロ値（0 ⇒ 「制限なし」）のままになっています。HTTP /api/v1/sendエンドポイントも同様で、リクエストボディがjson.NewDecoder(r.Body)を使用してデコードされますが、http.MaxBytesReaderは使用されていません。Mailpitのデフォルトリスナーは認証を必要とせずに[::]:1025（SMTP）および[::]:8025（HTTP）にバインドするため、ネットワーク経由で到達可能な攻撃者は単一の接続から任意に大きなメッセージをMailpitに送信し、RAM消費量が急増するのを見ることができます。その増幅率は約7〜10倍です（生フレーム → enmimeエンベロープツリー → 検索テキストインデックス → SQLiteへのzstd圧縮書き込み）。この攻撃を繰り返すか、複数の接続から並行して実行すると、プロセスはOOM-killされます。バージョン1.30.0には修正パッチが含まれています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.