CVE-2026-85242 in PlaywrightCapture
Sumário
de VulDB • 03/09/2026
O PlaywrightCapture apresenta uma vulnerabilidade de Server-Side Request Forgery (SSRF) em sua funcionalidade de recuperação do favicon. Quando o parâmetro `only_global_lookup` está habilitado, a aplicação valida a URL inicial do favicon para impedir solicitações ao localhost, loopback ou outros endereços de rede não públicos. No entanto, os redirecionamentos seguidos pelo aiohttp não foram submetidos à mesma validação.
Um atacante capaz de influenciar o conteúdo de uma página processada pelo PlaywrightCapture poderia especificar uma URL do favicon publicamente acessível que responda com um redirecionamento HTTP para um endereço local ou restrito, como 127.0.0.1, localhost ou um serviço de rede interna. Como o aiohttp segue automaticamente os redirecionamentos, a solicitação resultante poderia contornar as restrições de endereços locais da aplicação e fazer com que o host do PlaywrightCapture emita solicitações HTTP para recursos que não deveriam ser acessíveis externamente.
Dependendo dos serviços alcançáveis a partir do host do PlaywrightCapture e de como os dados do favicon recuperados são subsequentemente expostos ou processados, isso poderia ser usado para sondar serviços HTTP internos ou potencialmente obter informações de endpoints normalmente inacessíveis.
O patch introduz um middleware de solicitação aiohttp que aplica a validação existente de URL local a cada solicitação na cadeia de redirecionamentos. As solicitações que resolvem destinos restritos/locais são rejeitadas antes de serem emitidas.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.