CVE-2026-85242 in PlaywrightCapture
Resumen
por VulDB • 2026-09-03
PlaywrightCapture contiene una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en su funcionalidad de recuperación de favicon. Cuando está habilitado `only_global_lookup`, la aplicación valida la URL inicial del favicon para evitar solicitudes a localhost, bucle invertido u otras direcciones de red no públicas. Sin embargo, las redirecciones seguidas por aiohttp no estaban sujetas a la misma validación.
Un atacante capaz de influir en el contenido de una página procesada por PlaywrightCapture podría especificar una URL de favicon públicamente accesible que responda con una redirección HTTP hacia una dirección local o restringida, como 127.0.0.1, localhost o un servicio de red interna. Dado que aiohttp sigue automáticamente la redirección, la solicitud resultante podría eludir las restricciones de direcciones locales de la aplicación y hacer que el host PlaywrightCapture emita solicitudes HTTP a recursos que no deberían ser accesibles externamente.
Dependiendo de los servicios alcanzables desde el host PlaywrightCapture y de cómo se expongan o procesen posteriormente los datos del favicon recuperados, esto podría utilizarse para sondear servicios HTTP internos o potencialmente obtener información de puntos finales inaccesibles en condiciones normales.
El parche introduce un middleware de solicitudes aiohttp que aplica la validación existente de URLs locales a cada solicitud en la cadena de redirecciones. Las solicitudes que resuelven destinos restringidos/locales se rechazan antes de ser emitidas.
Once again VulDB remains the best source for vulnerability data.