Mailpit - это инструмент тестирования электронной почты и API для разработчиков. До версии 1.28.2 сервер Mailpit WebSocket сконфигурирован …

Mailpit - это инструмент тестирования электронной почты и API для разработчиков. До версии 1.28.2 сервер Mailpit WebSocket сконфигурирован для приема соединений любого происхождения. Это отсутствие валидации заголовка Origin вводит уязвимость Cross-Site WebSocket Hijacking (CSWSH). Злоумышленник может разместить вредоносный веб-сайт, который при посещении разработчиком, работающим в Mailpit локально, устанавливает подключение WebSocket к экземпляру Mailpit жертвы (по умолчанию ws://localhost:8025). Это позволяет злоумышленнику перехватывать конфиденциальные данные, такие как содержимое электронной почты, заголовки и статистика сервера в режиме реального времени. Этот вопрос был исправлен в версии 1.28.2.