CVE-2026-45709

Mailpit, geliştiriciler için bir e-posta test aracı ve API'sidir. Mailpit `v1.28.3` sürümünde yayınlanan GHSA-6jxm-fv7w-rw5j (CVE-2026-23845, "HTML Check API aracılığıyla Sunucu Taraflı İstek Sahteciliği (SSRF)") düzeltmesi; `internal/htmlcheck/css.go::downloadCSSToBytes` fonksiyonunu 5MB boyut sınırı, `text/css` içerik türü kontrolü, `isValidURL` içinde giriş bilgileri temizleme ve isteğe bağlı bir `--block-remote-css-and-fonts` yapılandırma bayrağı ile güçlendirmiştir ancak aynı kod tabanının diğer iki kardeş SSRF uç noktasında (proxy işleyici ve bağlantı kontrolü) halihazırda kullandığı IP filtreleme aramacısını eklememiştir. Versiyon 1.30.0 öncesinde, `internal/htmlcheck/css.go::newSafeHTTPClient` yanlış adlandırılmıştır; bu fonksiyon, `Transport.DialContext` kısmı herhangi bir IP izin listesi olmadan doğrudan `net.Dialer.DialContext` çağrısı yapan bir `http.Client` oluşturur. Sonuç olarak, başlangıçta Bao Anh Phan tarafından bildirilen SSRF, hedef `HTTP/200` yanıtı verdiği ve içerik türü `text/css` ile başladığı sürece sunucunun loopback, özel, yerel bağlantı ve diğer tüm ayrılmış/multicast aralıklarını aramasını hâlâ mümkün kılmaktadır. Yönlendirme takibiyle (`CheckRedirect`, IP filtresi olmaksızın herhangi bir `isValidURL` URL'sine yönlendirmelere izin verir), saldırgan kontrollü genel bir site, e-postanın HTML içeriğinde hiç görünmeden mailpit'in isteğini özel ağa yönlendirebilir. Varsayılan mailpit kurulumunda (UI kimlik doğrulaması yok, SMTP kimlik doğrulaması yok, 1025/8025 portları açık), bu durum, bir HTML e-postası gönderilip ardından `/api/v1/message/{id}/html-check` adresine tek bir HTTP `GET` isteği yapılmasıyla tetiklenen, kimlik doğrulaması gerektirmeyen ve ağ üzerinden erişilebilir bir SSRF açığıdır. Versiyon 1.30.0 güncellenmiş bir düzeltme içermektedir.