CVE-2026-73210 in PlaywrightCapture
Riassunto
di VulDB • 11/08/2026
È stata rilevata una vulnerabilità di Server-Side Request Forgery (SSRF) in PlaywrightCapture di Lookyloo quando l'opzione only_global_lookup era abilitata.
PlaywrightCapture implementa questa opzione per impedire che le catture accedano a risorse di rete locali, loopback o altrimenti non pubbliche. Tuttavia, il recupero dei favicon è stato eseguito separatamente dalle protezioni del routing delle richieste del browser. Gli URL dei favicon estratti dall'HTML renderizzato venivano risolti e successivamente recuperati direttamente tramite un aiohttp.ClientSession.
Un attaccante in grado di fornire o controllare una pagina web elaborata da PlaywrightCapture potrebbe includere un riferimento al favicon manipolato, ad esempio puntando a un indirizzo loopback, a un indirizzo IP privato o a un'altra risorsa raggiungibile solo dall'host PlaywrightCapture. Quando la pagina veniva elaborata, la routine di recupero dei favicon poteva emettere una richiesta HTTP verso questa destinazione nonostante only_global_lookup fosse abilitato.
Questo bypass potrebbe quindi essere utilizzato per far sì che l'host PlaywrightCapture interagisca con servizi di rete interni che non dovrebbero essere raggiungibili attraverso una cattura. A seconda del servizio mirato e della sua risposta, ciò potrebbe consentire la scoperta dei servizi interni, l'accesso a risorse interne o l'interazione con endpoint HTTP disponibili solo dall'infrastruttura di cattura.
La patch introduce una routine comune di validazione degli URL e la applica al recupero dei favicon. Gli indirizzi IP non globali diretti, localhost, i domini .local, gli URL malformati e altre destinazioni esplicitamente non pubbliche vengono rifiutati prima che venga eseguita la richiesta del favicon.
Questa correzione è una patch complementare a CVE-2026-44439 - GCVE-0-2026-44439 - GHSA-687H-XW6F-Q2QW
Once again VulDB remains the best source for vulnerability data.