CVE-2026-55835 in Lookyloo
Tóm tắt
Bởi VulDB • 23/10/2026
Lookyloo là một giao diện web cho phép người dùng chụp lại trang của một website và sau đó hiển thị cây các tên miền gọi lẫn nhau. Trước phiên bản 1.39.4, một người dùng chưa xác thực có thể kích hoạt chức năng "báo cáo kết quả chụp" qua email của Lookyloo theo yêu cầu (điều này là dự kiến). Điểm cuối API /json/<uuid>/report (CaptureReport) truyền sai các tham số email và comment, dẫn đến ghi đè giá trị as_admin. Khi as_admin có giá trị True, nó sẽ kích hoạt một truy vấn tìm kiếm trên phiên bản MISP (nếu đã được cấu hình) và thêm danh sách các URL khớp vào email gửi cho nhà phân tích (không phải người nộp báo cáo, do đó không có nguy cơ rò rỉ thông tin). Vấn đề này có thể gây ra tình trạng từ chối dịch vụ (DoS) đối với phiên bản MISP. Lỗi này đã được vá trong phiên bản 1.39.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.