CVE-2026-73210

Nome do Software Vulnerável e Versões Afetadas Lookyloo PlaywrightCapture (versões afetadas não especificadas)

Description Um problema de Server-Side Request Forgery (SSRF) ocorre quando a opção only global lookup está habilitada. Embora essa opção tenha como objetivo bloquear o acesso a recursos de rede locais, de loopback ou não públicos, o processo de recuperação de favicons ignora essas proteções. URLs de favicons extraídas do HTML são buscadas diretamente usando um aiohttp.ClientSession sem a validação adequada. Um invasor que controle uma página web processada pode usar uma referência de favicon manipulada para forçar o host a fazer requisições HTTP para serviços de rede internos, endereços IP privados ou endereços de loopback. Isso pode levar à descoberta de serviços internos ou interação não autorizada com endpoints HTTP internos.

Recommendations Aplicar a correção que introduz uma rotina comum de validação de URL para a recuperação de favicons, a fim de rejeitar endereços IP não globais, localhost, domínios .local e URLs malformadas.