CVE-2026-66824 in Lookyloo
要約
〜によって VulDB • 2026年07月28日
キャプチャツリー可視化ページに、格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在しました。アプリケーションはJinja safeフィルターを使用して、シリアライズされたキャプチャツリーをインラインJavaScriptブロック内に直接埋め込んでいました。
ツリーデータには、取得されたとおり攻撃者が制御可能なWebコンテンツに由来する値が含まれる可能性があるため、特別に作成された値によって周囲の`<script>`要素が早期に終了し、任意のHTMLやJavaScriptが注入される可能性があります。悪意のあるコードは、影響を受けたキャプチャツリーを表示しているユーザーのブラウザ上で実行されます。
攻撃が成功すると、攻撃者は被害者の認証済みセッションを使用してアクションを実行したり、被害者がアクセス可能な情報にアクセスしたり、または影響を受けるユーザーの権限内でアプリケーションデータを変更することが可能になります。
パッチではJSONデータをHTMLドキュメントから削除し、専用のAPIエンドポイントを通じて取得するように変更されました。クライアントはその後`response.json()`を用いてレスポンスを処理するため、キャプチャデータが元のページのHTMLやJavaScriptコンテキスト内での実行可能なコンテンツとして解釈されることを防ぎます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.