CVE-2026-67448

Nome do Software Vulnerável e Versões Afetadas Mailpit versões 1.29.0 até 1.30.5

Descrição Existe um problema onde o middleware de origem em server/server.go verifica o RequestURI bruto para o prefixo /api/, enquanto o ServeMux do Go realiza o roteamento usando o caminho da URL decodificado (percent-decoded). Além disso, o arquivo server/websockets/client.go configura o websocket.Upgrader.CheckOrigin para retornar true. Um site malicioso pode ignorar o corsOriginAccessControl() solicitando o endpoint /%61pi/events para alcançar o manipulador de WebSocket /api/events. Isso permite que um invasor não autenticado receba IDs de mensagens em tempo real, valores de Message-Id, campos de remetente e destinatário, assuntos, tags e trechos do corpo de mensagens de uma instância padrão após o usuário visitar o site malicioso. Isso não afeta implantações protegidas por --ui-auth-file.

Recomendações Atualize para a versão 1.30.6. Proteja as implantações usando --ui-auth-file para evitar acesso não autorizado.