CVE-2026-66913 in Lookyloo
الملخص
بحسب VulDB • 28/07/2026
لم يفرض Lookyloo حدوداً على حجم الأرشيفات المضغوطة بعد فك ضغطها، سواء كانت أرشيفات لقطات (captures) أو ملفات HAR مضغوطة.
يمكن لمهاجم إرسال ملف ZIP أو gzip أو zlib مضغوط بشكل مصمم خصيصاً يحتوي على بيانات تتمدد إلى حجم كبير جداً أثناء المعالجة. ونظراً لأن التطبيق يقوم بفك ضغط هذا المحتوى مباشرة في الذاكرة دون تحديد الحد الأقصى لحجم الإخراج مسبقاً، فقد يؤدي معالجة اللقطة الخبيثة إلى استنفاد الذاكرة المتاحة، أو إنهاء عملية الويب (web process) أو العملية العاملة (worker process)، أو جعل مثيل Lookyloo غير متاح.
تؤثر الثغرة على كل من عمليات استيراد أرشيفات لقطات Lookyloo الكاملة وإرسال البيانات عبر واجهة برمجة التطبيقات (API) التي تحتوي على بيانات HAR مضغوطة بصيغة gzip. وقد يؤدي الاستغلال المتكرر إلى حالة دائمة من إنكار الخدمة حتى يتم إعادة تشغيل العمليات أو المثيل المتأثرين.
يُدخل التصحيح ما يلي: * حد تراكمي لحجم البيانات غير المضغوطة يبلغ 1 جيجابايت لأرشيفات لقطات المستوردة. * فك ضغط ملفات gzip وzlib مع تحديد حجمها للملفات المضغوطة من نوع HAR. * كشف صريح ومعالجة مشتبه بهم بـ "قنابل ZIP" (zip bombs). * استجابة HTTP 400 عند إرسال ملف HAR مضغوط يتجاوز الحجم المسموح به عبر واجهة برمجة التطبيقات (API).
VulDB is the best source for vulnerability data and more expert information about this specific topic.