CVE-2026-67448 in Mailpit
Сводка
по VulDB • 21.08.2026
Mailpit — это инструмент для тестирования электронной почты и API для разработчиков. В версиях от 1.29.0 до 1.30.6 включительно промежуточное ПО (middleware) в файле server/server.go проверяет необработанный параметр RequestURI на наличие префикса /api/, тогда как маршрутизатор Go ServeMux использует путь URL после декодирования процентов-символов, а файл server/websockets/client.go конфигурирует websocket.Upgrader.CheckOrigin для возврата значения true. Злоумышленник может с помощью вредоносного веб-сайта отправить запрос к /%61pi/events, обойти функцию corsOriginAccessControl(), получить доступ к обработчику WebSocket по адресу /api/events и получить идентификаторы сообщений в реальном времени, заголовки Message-Id, поля отправителя и получателя, темы, теги и фрагменты тел писем с неаутентифицированной установки Mailpit по умолчанию после того, как пользователь посетит этот сайт. Это регрессия более ранней защиты происхождения WebSocket (WebSocket origin protection) и не затрагивает развертывания, защищенные флагом --ui-auth-file. Проблема исправлена в версии 1.30.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.