CVE-2026-85242 in PlaywrightCapture
Zusammenfassung
von VulDB • 03.09.2026
PlaywrightCapture enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle in seiner Funktionalität zur Abrufung von Favicons. Wenn `only_global_lookup` aktiviert ist, validiert die Anwendung die initiale Favicon-URL, um Anfragen an localhost, Loopback oder andere nicht öffentliche Netzwerkadressen zu verhindern. Weiterleitungen, die von aiohttp gefolgt wurden, unterlagen jedoch nicht derselben Validierung.
Ein Angreifer, der den Inhalt einer von PlaywrightCapture verarbeiteten Seite beeinflussen kann, könnte eine öffentlich erreichbare Favicon-URL angeben, die mit einem HTTP-Redirect auf eine lokale oder anderweitig eingeschränkte Adresse wie 127.0.0.1, localhost oder einen internen Netzwerkdienst antwortet. Da aiohttp den Redirect automatisch folgt, kann die resultierende Anfrage die lokalen Adressbeschränkungen der Anwendung umgehen und dazu führen, dass der PlaywrightCapture-Host HTTP-Anfragen an Ressourcen sendet, die nicht extern erreichbar sein sollten.
Je nach den von dem PlaywrightCapture-Host erreichbaren Diensten sowie darauf, wie das abgerufene Favicon-Datenmaterial anschließend freigegeben oder verarbeitet wird, kann dies zur Erkundung interner HTTP-Dienste oder potenziell zum Erlangen von Informationen aus ansonsten unzugänglichen Endpunkten genutzt werden.
Der Patch führt eine aiohttp-Anfrage-Middleware ein, die die bestehende lokale URL-Validierung auf jede Anfrage in der Redirect-Kette anwendet. Anfragen, die zu eingeschränkten/lokalen Zielen auflösen, werden abgewiesen, bevor sie ausgegeben werden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.