CVE-2026-73210 in PlaywrightCapture
Zusammenfassung
von VulDB • 11.08.2026
In PlaywrightCapture von Lookyloo bestand eine Server-Side Request Forgery (SSRF)-Schwachstelle, wenn die Option `only_global_lookup` aktiviert war.
PlaywrightCapture implementierte diese Option, um zu verhindern, dass bei Aufzeichnungen der Zugriff auf lokale Loopback- oder andere nicht öffentlich zugängliche Netzwerkressourcen erfolgt. Die Abrufung von Favicons wurde jedoch separat von den Schutzmechanismen zur Browser-Anfrage-Routing durchgeführt. Aus gerendertem HTML extrahierte Favicon-URLs wurden aufgelöst und anschließend direkt über eine `aiohttp.ClientSession` abgerufen.
Ein Angreifer, der in der Lage ist, eine von PlaywrightCapture verarbeitete Webseite zu liefern oder zu steuern, könnte einen manipulierten Favicon-Verweis einfügen, beispielsweise mit einer Zieladresse auf einem Loopback-Interface, einer privaten IP-Adresse oder einer anderen Ressource, die nur vom Host aus erreichbar ist. Bei der Verarbeitung dieser Seite konnte die Routine zum Abruf von Favicons trotz aktivierter `only_global_lookup` eine HTTP-Anfrage an dieses Ziel senden.
Dieser Umgehungsweg könnte daher genutzt werden, um den PlaywrightCapture-Host dazu zu bringen, mit internen Netzwerkdiensten zu interagieren, die über eine Aufzeichnung nicht erreichbar sein sollten. Je nach betroffenem Dienst und dessen Antwort könnten dadurch interne Dienste entdeckt, auf interne Ressourcen zugegriffen oder HTTP-Endpunkte angesprochen werden, die nur innerhalb der Capture-Infrastruktur verfügbar sind.
Der Patch führt eine gemeinsame URL-Validierungsroutine ein und wendet diese auch beim Abruf von Favicons an. Direkte nicht-global gültige IP-Adressen, localhost, `.local`-Domains, fehlerhafte URLs sowie andere explizit nicht öffentlich zugängliche Ziele werden abgewiesen, bevor die Favicon-Anfrage ausgeführt wird.
Diese Korrektur ist eine ergänzende Maßnahme zu CVE-2026-44439 - GCVE-0-2026-44439 - GHSA-687H-XW6F-Q2QW
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.