PT-2026-2106 · Mailpit · Mailpit

Omarkurt · Publicado 2026-01-06 · Atualizado 2026-03-27 · CVE-2026-21859

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.8

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Mailpit 1.28.0 e anteriores

Descrição O Mailpit é uma ferramenta de teste de e-mail e API para desenvolvedores. Uma Server-Side Request Forgery (SSRF) existe no endpoint /proxy, permitindo que atacantes realizem solicitações a recursos internos da rede. O endpoint /proxy valida os esquemas http:// e https://, mas não bloqueia endereços IP internos, permitindo acesso a serviços e APIs internos. Isso se limita a solicitações HTTP GET com cabeçalhos mínimos.

Recomendações Atualize o Mailpit para a versão 1.28.1 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-21859

GHSA-8V65-47JX-7MFR

GO-2026-4284

SUSE-SU-2026:0142-1

Produtos afetados

Mailpit

Referências · 50

• 🔥 https://github.com/axllent/mailpit/security/advisories/GHSA-8v65-47jx-7mfr · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/21xxx/CVE-2026-21859.json · Exploit
• https://github.com/axllent/mailpit · Nota
• https://github.com/axllent/mailpit/commit/3b9b470c093b3d20b7d751722c1c24f3eed2e19d · Correção
• https://suse.com/security/cve/CVE-2025-63389 · Nota
• https://twitter.com/Crowd_Security/status/2028449282458570894 · Publicação no Twitter
• https://t.me/cveNotify/150624 · Publicação no Telegram
• https://suse.com/security/cve/CVE-2026-21885 · Nota
• https://suse.com/security/cve/CVE-2026-21859 · Nota
• https://suse.com/security/cve/CVE-2025-68151 · Nota
• https://suse.com/security/cve/CVE-2025-15107 · Nota
• https://osv.dev/vulnerability/CVE-2026-21859 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2017-18897 · Nota
• https://suse.com/security/cve/CVE-2025-69413 · Nota
• https://suse.com/support/update/announcement/2026/suse-su-20260142-1 · Nota