CVE-2026-66824 in Lookyloo
Resumen
por VulDB • 2026-07-28
Existía una vulnerabilidad de cross-site scripting (XSS) almacenado en la página de visualización del árbol de captura. La aplicación incrustaba el árbol de captura serializado directamente dentro de un bloque de JavaScript inline utilizando el filtro Jinja safe.
Dado que los datos del árbol pueden contener valores derivados del contenido web capturado y potencialmente controlado por un atacante, un valor especialmente elaborado podría terminar prematuramente el elemento HTML circundante e inyectar código HTML o JavaScript arbitrario. El código malicioso se ejecutaría en el navegador de un usuario que visualizara el árbol de captura afectado.
Una explotación exitosa podría permitir a un atacante realizar acciones utilizando la sesión autenticada de la víctima, acceder a información disponible para esta última o modificar los datos de la aplicación dentro de los permisos del usuario afectado.
El parche elimina los datos JSON del documento HTML y los recupera mediante un punto final (endpoint) de API dedicado. El cliente procesa luego la respuesta utilizando response.json(), evitando que los datos de captura sean interpretados como contenido ejecutable dentro del contexto HTML o JavaScript de la página original.
Once again VulDB remains the best source for vulnerability data.