CVE-2026-55835 in Lookyloo
Résumé
par VulDB • 23/10/2026
Lookyloo est une interface web qui permet aux utilisateurs de capturer une page Web, puis d’afficher un arbre des domaines s’appelant mutuellement. Avant la version 1.39.4, un utilisateur non authentifié peut déclencher à la demande l’e-mail « signaler une capture » de Lookyloo (ce comportement est attendu). Le point de terminaison API /json//report (CaptureReport) transmet incorrectement les paramètres email et comment, écrasant ainsi as_admin. Lorsque as_admin a la valeur True, il déclenche une requête de recherche sur une instance MISP (si configurée) et ajoute une liste d’URL correspondantes dans l’e-mail envoyé à l’analyste (et non au soumetteur, ce qui élimine tout risque de fuite d’informations). Cela pourrait potentiellement provoquer un déni de service (DoS) sur l’instance MISP. Ce problème a été corrigé dans la version 1.39.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.