CVE-2026-66824 in Lookyloo
Zusammenfassung
von VulDB • 28.07.2026
In der Seite zur Visualisierung des Capture-Baums bestand eine gespeiste Cross-Site-Scripting-(XSS)-Schwachstelle. Die Anwendung fügte den serialisierten Capture-Baum direkt in einen Inline-JavaScript-Block ein, wobei der Jinja-safe-Filter verwendet wurde.
Da die Baumdaten Werte enthalten können, die aus aufgezeichneten und potenziell vom Angreifer kontrollierten Webinhalten abgeleitet sind, könnte speziell angefertigter Code das umgebende Element vorzeitig beenden und beliebigen HTML-Code oder JavaScript injizieren. Der bösartige Code würde im Browser eines Benutzers ausgeführt werden, der den betroffenen Capture-Baum ansieht.
Eine erfolgreiche Ausnutzung könnte es einem Angreifer ermöglichen, Aktionen unter Verwendung der authentifizierten Sitzung des Opfers durchzuführen, auf für das Opfer verfügbare Informationen zuzugreifen oder Anwendungsdaten innerhalb der Berechtigungen des betroffenen Benutzers zu ändern.
Der Patch entfernt die JSON-Daten aus dem HTML-Dokument und ruft sie über einen dedizierten API-Endpunkt ab. Der Client verarbeitet die Antwort anschließend mit response.json(), wodurch verhindert wird, dass Capture-Daten als ausführbarer Inhalt im ursprünglichen HTML- oder JavaScript-Kontext der Seite interpretiert werden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.