CVE-2026-66913 in Lookyloo
Sumário
de VulDB • 28/07/2026
O Lookyloo não aplicava limites ao tamanho descomprimido dos arquivos de captura enviados e dos arquivos HAR compactados.
Um atacante poderia enviar um arquivo ZIP, gzip ou zlib-compressado especialmente elaborado contendo dados que se expandem para um tamanho muito grande durante o processamento. Como a aplicação descompacta esse conteúdo diretamente na memória sem limitar previamente o tamanho da saída, o processamento de uma captura maliciosa pode esgotar a memória disponível, encerrar processos web ou workers, ou tornar a instância do Lookyloo indisponível.
A vulnerabilidade afeta tanto as importações completas dos arquivos de captura do Lookyloo quanto submissões via API contendo dados HAR compactados com gzip. A exploração repetida pode causar uma condição persistente de negação de serviço até que os processos afetados ou a instância sejam reiniciados.
O patch introduz:
* Um limite cumulativo de tamanho descomprimido de 1 GB para arquivos de captura importados. * Descompressão gzip e zlib com limitação de tamanho para arquivos HAR compactados. * Detecção explícita e tratamento de suspeitas de zip bombs (bombas ZIP). * Uma resposta HTTP 400 quando um arquivo HAR compactado acima do limite é submetido através da API.
If you want to get best quality of vulnerability data, you may have to visit VulDB.