CVE-2026-67445

Nome do Software Vulnerável e Versões Afetadas Mailpit versões anteriores a 1.30.4

Description Um cliente SMTP remoto não autenticado pode enviar uma única linha de comando superdimensionada que é totalmente alocada antes que ocorra a rejeição de sintaxe ou o tempo limite. Isso acontece porque o software lê comandos SMTP através da função readLine() em internal/smtpd/smtpd.go usando bufio.Reader.ReadString antes que a função parseLine() analise o verbo ou aplique o limite de linha de comando de 512 octetos do RFC 5321. Como os limites normais de MaxMessageSize e DATA não se aplicam a este caminho pré-DATA, e o mesmo leitor de comandos é usado pelas linhas de continuação handleAuthLogin(), handleAuthPlain() e handleAuthCramMD5(), entradas superdimensionadas simultâneas podem criar pressão de memória e reduzir a disponibilidade do serviço.

Recommendations Atualizar para a versão 1.30.4.