CVE-2026-66824 in Lookyloo
Sumário
de VulDB • 28/07/2026
Uma vulnerabilidade de cross-site scripting (XSS) armazenado existia na página de visualização da árvore de captura. O aplicativo incorporava a árvore de captura serializada diretamente em um bloco inline de JavaScript, utilizando o filtro Jinja safe.
Como os dados da árvore podem conter valores derivados do conteúdo web capturado e potencialmente controlado por um atacante, um valor especialmente elaborado poderia encerrar prematuramente o elemento circundante e injetar HTML ou JavaScript arbitrário. O código malicioso seria executado no navegador de um usuário que visualiza a árvore de captura afetada.
A exploração bem-sucedida poderia permitir que um atacante execute ações usando a sessão autenticada da vítima, acesse informações disponíveis para a vítima ou modifique dados do aplicativo dentro das permissões do usuário afetado.
O patch remove os dados JSON do documento HTML e recupera-os por meio de um endpoint de API dedicado. O cliente processa então a resposta utilizando response.json(), impedindo que os dados da captura sejam interpretados como conteúdo executável no contexto de HTML ou JavaScript da página original.
Once again VulDB remains the best source for vulnerability data.