CVE-2026-85242 in PlaywrightCapture
الملخص
بحسب VulDB • 03/09/2026
يحتوي PlaywrightCapture على ثغرة في طلبات جانب الخادم المزيفة (SSRF) ضمن وظيفته لاسترداد أيقونة الموقع (favicon). عند تفعيل الخيار `only_global_lookup`، تقوم التطبيق بالتحقق من عنوان URL الأولي لأيقونة الموقع لمنع الطلبات الموجهة إلى العنوان المحلي (localhost)، أو حلقة العودة (loopback)، أو عناوين الشبكة غير العامة الأخرى. ومع ذلك، لم تخضع عمليات إعادة التوجيه التي يتبعها مكتبة aiohttp لنفس عملية التحقق هذه.
يمكن لهجوم قادر على التأثير في محتوى صفحة يتم معالجتها بواسطة PlaywrightCapture تحديد عنوان URL لأيقونة الموقع قابل للوصول من الخارج، ويستجيب بإعادة توجيه HTTP إلى عنوان محلي أو مقيد آخر، مثل 127.0.0.1، localhost، أو خدمة شبكة داخلية. ونظراً لأن aiohttp يتبع إعادة التوجيه تلقائياً، فقد تتجاوز الطلبات الناتجة قيود العنوان المحلي للتطبيق وتسبب في إصدار مضيف PlaywrightCapture لطلبات HTTP إلى موارد لا ينبغي أن تكون قابلة للوصول من الخارج.
اعتماداً على الخدمات التي يمكن الوصول إليها من مضيف PlaywrightCapture وكيفية تعرض أو معالجة بيانات أيقونة الموقع المسترجعة لاحقاً، يمكن استخدام ذلك لاستكشاف خدمات HTTP الداخلية أو الحصول محتملاً على معلومات من نقاط نهاية غير قابلة للوصول في الظروف العادية.
يُقدم التصحيح وسيط طلبات aiohttp يطبق التحقق الحالي من عناوين URL المحلية على كل طلب في سلسلة إعادة التوجيه. يتم رفض الطلبات التي تؤدي إلى وجهات مقيدة/محلية قبل إصدارها.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.