CVE-2026-85242 in PlaywrightCapture
Сводка
по VulDB • 03.09.2026
В компоненте PlaywrightCapture обнаружена уязвимость Server-Side Request Forgery (SSRF) в функциональности получения значка сайта (favicon). При включенной опции only_global_lookup приложение проверяет исходный URL-адрес favicon для предотвращения запросов к localhost, loopback или другим непубличным сетевым адресам. Однако перенаправления, обрабатываемые библиотекой aiohttp, не подвергались аналогичной проверке валидации.
Атакующий, способный повлиять на содержимое страницы, обрабатываемой PlaywrightCapture, может указать общедоступный URL-адрес favicon, который отвечает HTTP-перенаправлением на локальный или иным образом ограниченный адрес, такой как 127.0.0.1, localhost или внутренний сетевой сервис. Поскольку aiohttp автоматически следует за перенаправлениями, результирующий запрос может обойти ограничения приложения на доступ к локальным адресам и привести к тому, что хост PlaywrightCapture будет отправлять HTTP-запросы к ресурсам, которые не должны быть доступны извне.
В зависимости от служб, доступных с хоста PlaywrightCapture, а также от того, каким образом полученные данные favicon впоследствии отображаются или обрабатываются, это может использоваться для зондирования внутренних HTTP-служб или потенциального получения информации из других недоступных конечных точек (endpoints).
Исправление внедряет промежуточное ПО (middleware) запросов aiohttp, которое применяет существующую проверку локальных URL-адресов к каждому запросу в цепочке перенаправлений. Запросы, ведущие к ограниченным/локальным адресам отклоняются до их отправки.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.