PT-2026-55207 · Mailpit · Mailpit

Publicado

2026-07-01

·

Atualizado

2026-07-07

·

CVE-2026-48824

CVSS v3.1

5.3

Média

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Nome do Software Vulnerável e Versões Afetadas Mailpit versões anteriores a 1.30.1
Description Um invasor remoto não autenticado pode causar uma Negação de Serviço (DoS) por exaustão de memória ao enviar corpos JSON grandes para endpoints de API específicos. Isso ocorre porque o software não limita o tamanho do corpo da requisição, permitindo que um invasor forneça um slice IDs com milhões de elementos, fazendo com que o Resident Set Size (RSS) cresça linearmente com o tamanho do payload, resultando em uma amplificação significativa de memória.
API Endpoints:
  • PUT /api/v1/messages
  • DELETE /api/v1/messages
  • PUT /api/v1/tags
  • POST /api/v1/message/{id}/release
Vulnerable Parameters or Variables:
  • IDs
Recommendations Para versões anteriores a 1.30.1, atualize o software para uma versão onde o http.MaxBytesReader seja aplicado a todos os manipuladores de corpo JSON para impor o limite de MaxMessageSize. Como medida paliativa temporária, restrinja o acesso aos endpoints de API afetados para minimizar o risco de exploração.

Correção

Allocation of Resources Without Limits

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2026-48824
GHSA-28PQ-6QXG-WG5R
GO-2026-5868

Produtos afetados

Mailpit