CVE-2026-48824

Mailpit, geliştiriciler için bir e-posta test aracı ve API'sidir. 1.30.1 sürümünden önce, GHSA-fpxj-m5q8-fphw (CVE-2026-45710, "Mailpit: Sınırsız SMTP DATA ve /api/v1/send gövde boyutları üzerinden DoS'u önlemek için varsayılan 50MB p/m sınırı belirle") düzeltmesi yalnızca `POST /api/v1/send` uç noktasını `http.MaxBytesReader` ile sarmalamıştı. Diğer dört Mailpit JSON gövdeli API uç noktası `PUT /api/v1/messages` (SetReadStatus), `DELETE /api/v1/messages` (DeleteMessages), `PUT /api/v1/tags` (SetMessageTags) ve `POST /api/v1/message/{id}/release` (ReleaseMessage) hâlâ gövde boyutu sınırı olmadan doğrudan `json.NewDecoder(r.Body)` çağırmakta ve varsayılan `docker run axllent/mailpit:latest` dağıtımında kimlik doğrulaması yapılmadan erişilebilir durumda kalmaktadır. Kimlik doğrulaması yapmamış uzak bir saldırgan, milyonlarca öğe içeren bir `IDs` dilimi göndererek 16 MB'lık istek gövdesi başına RSS'i yaklaşık 25 MiB taban değerinden yaklaşık 450 MiB'ye çıkarabilir. Birden fazla bağlantı üzerinden tekrarlanması, istek başına aynı amplifikasyonu süreç başına biriktirir. 1.30.1 sürümü bir yama içermektedir.