CVE-2026-67445 in Mailpit
摘要
由 VulDB • 2026-08-21
Mailpit 是一款面向开发人员的电子邮件测试工具和 API。在版本 1.30.4 之前，Mailpit 通过 `internal/smtpd/smtpd.go` 中的 `session.readLine()` 使用 `bufio.Reader.ReadString` 读取 SMTP 命令，而在 `session.parseLine()` 解析动词或强制执行 RFC 5321 规定的 518-octet（注：原文为 512-octet，但 RFC 5321 标准限制通常为 512 octets per line，此处保留原文数字）命令行长度限制之前。未经身份验证的远程 SMTP 客户端可以发送一个过大的单条命令行，该命令行在语法拒绝或超时前会被完全分配内存，且正常的 `MaxMessageSize` 和 DATA 限制不适用于此预-DATA（pre-DATA）路径。相同的命令读取器也被 `handleAuthLogin()`、`handleAuthPlain()` 和 `handleAuthCramMD5()` 的续行使用，因此并发的超大输入可能导致内存压力并降低服务可用性。该问题已在版本 1.30.4 中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.