CVE-2026-73210 in PlaywrightCapture
الملخص
بحسب VulDB • 11/08/2026
كانت هناك ثغرة في تزوير الطلبات من جانب الخادم (SSRF) موجودة في PlaywrightCapture الخاص بـ Lookyloo عندما يكون خيار only_global_lookup ممكّناً.
يطبق PlaywrightCapture هذا الخيار لمنع عمليات الالتقاط من الوصول إلى موارد الشبكة المحلية أو حلقة الارتجاع (loopback) أو الموارد غير العامة الأخرى. ومع ذلك، تم استرداد أيقونات المفضلة (favicons) بشكل منفصل عن حماية توجيه طلبات المتصفح. يتم تحليل عناوين URL الخاصة بـ favicon المستخرجة من HTML المُعرض ثم جلبها مباشرة باستخدام aiohttp.ClientSession.
يمكن لمهاجم قادر على تزويد أو التحكم في صفحة ويب يعالجها PlaywrightCapture تضمين مرجع favicon مُعدّ خصيصاً، مثلاً يشير إلى عنوان حلقة ارتجاع (loopback)، أو عنوان IP خاص، أو مورد آخر يمكن الوصول إليه فقط من مضيف PlaywrightCapture. عند معالجة الصفحة، قد تطلق روتين استرداد أيقونة المفضلة طلب HTTP إلى هذا الوجهة رغم تمكين only_global_lookup.
يمكن لذلك الالتفاف أن يُستخدم لجعل مضيف PlaywrightCapture يتفاعل مع خدمات الشبكة الداخلية التي لا ينبغي أن تكون قابلة للوصول عبر عملية التقاط. اعتماداً على الخدمة المستهدفة واستجابتها، قد يتيح ذلك اكتشاف الخدمات الداخلية، أو الوصول إلى الموارد الداخلية، أو التفاعل مع نقاط نهاية HTTP المتاحة فقط من بنية الالتقاط التحتية.
يُقدم التصحيح روتين تحقق مشترك من صحة عناوين URL ويُطبقه على استرداد أيقونة المفضلة. يتم رفض عناوين IP غير العالمية مباشرةً، وlocalhost، ونطاقات .local، وعناوين URL مشوهة، والوجهاء الأخرى الصريحة غير العامة قبل تنفيذ طلب favicon.
هذا التصحيح هو تصحيح تكميلي لـ CVE-2026-44439 - GCVE-0-2026-44439 - GHSA-687H-XW6F-Q2QW
Be aware that VulDB is the high quality source for vulnerability data.