CVE-2025-66458
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Lookyloo to interfejs webowy, który umożliwia użytkownikom przechwycenie strony internetowej, a następnie wyświetlenie drzewa domen, które się wzajemnie wywołują. Przed wersją 1.35.3 występuje wiele podatności XSS z powodu niebezpiecznego użycia f-stringów w Markup. Problem wymaga, aby złośliwy serwer zewnętrzny odpowiedział dokumentem JSON zawierającym kod JS w elemencie script. Ta podatność została naprawiona w wersji 1.35.3.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków.
Rekomendacja
Zaleca się aktualizację Lookyloo do wersji 1.35.3 lub nowszej, aby wyeliminować tę podatność.
Inne podatności w Lookyloo
Zobacz wszystkie- CVE-2025-65095Krytyczne
Lookyloo przed wersją 1.35.1 ma potencjalną podatność na cross-site scripting (XSS) na stronie indeksu i drzewa. Problem został naprawiony w wersji 1.35.1.
- CVE-2026-73210Średnie
W Lookyloo's PlaywrightCapture wykryto podatność SSRF (Server-Side Request Forgery) występującą, gdy włączona jest opcja only_global_lookup. Pobieranie favicon odbywało się poza zabezpieczeniami routingu przeglądarki, co pozwalało atakującemu na wysłanie żądania HTTP do wewnętrznych zasobów (np. adresów loopback, prywatnych IP) poprzez spreparowaną stronę internetową. Łatka wprowadza wspólną walidację URL-i dla pobierania favicon, odrzucając niedozwolone cele.
- CVE-2026-66913Średnie
Lookyloo nie ogranicza rozmiaru dekompresowanych archiwów przechwytywania i skompresowanych plików HAR. Atakujący może przesłać specjalnie spreparowane archiwum ZIP, gzip lub zlib, które po dekompresji zajmuje bardzo dużo pamięci, powodując wyczerpanie pamięci i odmowę usługi.
- CVE-2025-66460Średnie
Lookyloo to interfejs webowy, który umożliwia użytkownikom przechwycenie strony internetowej, a następnie wyświetlenie drzewa domen, które się wzajemnie wywołują. Przed wersją 1.35.3 Lookyloo przekazywał niepoprawnie escapowane wartości do komórek renderowanych w datatables przy użyciu funkcji orthogonal-data. Jest to zdecydowanie wykorzystywalne z widoku popup, ale najprawdopodobniej również w wielu innych miejscach. Ta podatność została naprawiona w wersji 1.35.3.
- CVE-2025-66459Średnie
Lookyloo to interfejs webowy umożliwiający przechwytywanie stron internetowych i wyświetlanie drzewa domen, które się wzajemnie wywołują. W wersjach przed 1.35.3 podatność XSS może zostać wywołana, gdy użytkownik zgłosi listę adresów URL do przechwycenia, jeden z nich zawiera element HTML, a przechwycenie się nie powiedzie. Pole błędu zostaje wówczas wypełnione komunikatem zawierającym błędny adres URL, co wyzwala XSS. Podatność została naprawiona w wersji 1.35.3.
Oryginalny opis (angielski, źródło NVD)
Lookyloo is a web interface that allows users to capture a website page and then display a tree of domains that call each other. Prior to 1.35.3, there are multiple XSS due to unsafe use of f-strings in Markup. The issue requires a malicious 3rd party server responding with a JSON document containing JS code in a script element. This vulnerability is fixed in 1.35.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS