CVE-2026-45709

Mailpit developerlər üçün e-poçt test aləti və API-dir. GHSA-6jxm-fv7w-rw5j (CVE-2026-23845, "HTML Check API vasitəsilə Server-Side Request Forgery (SSRF)") üçün düzəliş mailpit `v1.28.3` versiyasında buraxılmış və `internal/htmlcheck/css.go::downloadCSSToBytes` funksiyasını 5MB ölçü limiti, `text/css` content-type yoxlaması, `isValidURL` daxilində login məlumatlarının silinməsi və opsional `--block-remote-css-and-fonts` konfiqurasiya bayrağı ilə sərtləşdirmişdir — lakin həmin kod bazasının iki qardaş SSRF endpointində (proxy handler və link-check) artıq istifadə etdiyi IP-filtrasiya edən dialer-i əlavə etməmişdir. 1.30.0 versiyasından əvvəl `internal/htmlcheck/css.go::newSafeHTTPClient` səhv adlandırılmışdır — o, `Transport.DialContext` sahəsi heç bir IP icazə siyahısı olmadan birbaşa `net.Dialer.DialContext` çağıran `http.Client` qurur. Nəticədə, ilkin olaraq Bao Anh Phan tərəfindən bildirilmiş SSRF hələ də serverin loopback, private, link-local və digər rezerv/multicast diapazonlarına qoşulmasına imkan verir, bu şərtlə ki, hədəf `HTTP/200` və `text/css` ilə başlayan content-type ilə cavab versin. Yönləndirmələrin izlənməsi ilə (`CheckRedirect` hər hansı `isValidURL` URL-inə IP filtri olmadan yönləndirmələrə icazə verir) hücumçunun nəzarətində olan ictimai sayt mailpit-in sorğusunu e-poçtun HTML-ində heç vaxt görünmədən private şəbəkəyə yönləndirə bilər. Standart mailpit yerləşdirməsində (UI autentifikasiyası yoxdur, SMTP autentifikasiyası yoxdur, 1025/8025 portları açıqdır) bu, HTML e-poçt göndərdikdən sonra `/api/v1/message/{id}/html-check` ünvanına bir HTTP `GET` sorğusu verməklə tetiklənən, autentifikasiya tələb etməyən, şəbəkədən əlçatan SSRF-dir. 1.30.0 versiyası yenilənmiş düzəlişi ehtiva edir.