PT-2026-70210
CVE-2026-73210
·
تاريخ النشر
2026-08-11
·
تاريخ التحديث
2026-08-11
الوصف من
CVSS 4.0
5.1
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Lookyloo PlaywrightCapture (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تحدث مشكلة تزوير الطلبات من جانب الخادم (SSRF) عند تمكين الخيار
only global lookup. ورغم أن الغرض من هذا الخيار هو حظر الوصول إلى موارد الشبكة المحلية أو موارد الارتداد أو الموارد غير العامة، فإن عملية استرداد أيقونة الموقع (favicon) تتجاوز هذه الإجراءات الوقائية. يتم استرداد عناوين URL الخاصة برموز المفضلة (favicon) المستخرجة من HTML مباشرةً باستخدام aiohttp.ClientSession دون إجراء التحقق المناسب. يمكن للمهاجم الذي يتحكم في صفحة ويب قيد المعالجة استخدام مرجع مصمم خصيصًا لرمز المفضلة لإجبار المضيف على إرسال طلبات HTTP إلى خدمات الشبكة الداخلية أو عناوين IP الخاصة أو عناوين loopback. وقد يؤدي ذلك إلى اكتشاف الخدمات الداخلية أو التفاعل غير المصرح به مع نقاط نهاية HTTP الداخلية.التوصيات
قم بتطبيق التصحيح الذي يضيف روتينًا عامًا للتحقق من صحة عناوين URL إلى عملية استرداد الرموز المفضلة لرفض عناوين IP غير العالمية، و«localhost»، ونطاقات .local، وعناوين URL غير الصحيحة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾