CVE-2025-66459
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Lookyloo to interfejs webowy umożliwiający przechwytywanie stron internetowych i wyświetlanie drzewa domen, które się wzajemnie wywołują. W wersjach przed 1.35.3 podatność XSS może zostać wywołana, gdy użytkownik zgłosi listę adresów URL do przechwycenia, jeden z nich zawiera element HTML, a przechwycenie się nie powiedzie. Pole błędu zostaje wówczas wypełnione komunikatem zawierającym błędny adres URL, co wyzwala XSS. Podatność została naprawiona w wersji 1.35.3.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarce użytkownika Lookyloo, co może prowadzić do kradzieży sesji lub innych działań w kontekście ofiary.
Rekomendacja
Zaktualizuj Lookyloo do wersji 1.35.3 lub nowszej.
Inne podatności w Lookyloo
Zobacz wszystkie- CVE-2025-65095Krytyczne
Lookyloo przed wersją 1.35.1 ma potencjalną podatność na cross-site scripting (XSS) na stronie indeksu i drzewa. Problem został naprawiony w wersji 1.35.1.
- CVE-2026-73210Średnie
W Lookyloo's PlaywrightCapture wykryto podatność SSRF (Server-Side Request Forgery) występującą, gdy włączona jest opcja only_global_lookup. Pobieranie favicon odbywało się poza zabezpieczeniami routingu przeglądarki, co pozwalało atakującemu na wysłanie żądania HTTP do wewnętrznych zasobów (np. adresów loopback, prywatnych IP) poprzez spreparowaną stronę internetową. Łatka wprowadza wspólną walidację URL-i dla pobierania favicon, odrzucając niedozwolone cele.
- CVE-2026-66913Średnie
Lookyloo nie ogranicza rozmiaru dekompresowanych archiwów przechwytywania i skompresowanych plików HAR. Atakujący może przesłać specjalnie spreparowane archiwum ZIP, gzip lub zlib, które po dekompresji zajmuje bardzo dużo pamięci, powodując wyczerpanie pamięci i odmowę usługi.
- CVE-2025-66460Średnie
Lookyloo to interfejs webowy, który umożliwia użytkownikom przechwycenie strony internetowej, a następnie wyświetlenie drzewa domen, które się wzajemnie wywołują. Przed wersją 1.35.3 Lookyloo przekazywał niepoprawnie escapowane wartości do komórek renderowanych w datatables przy użyciu funkcji orthogonal-data. Jest to zdecydowanie wykorzystywalne z widoku popup, ale najprawdopodobniej również w wielu innych miejscach. Ta podatność została naprawiona w wersji 1.35.3.
- CVE-2025-66458Średnie
Lookyloo to interfejs webowy, który umożliwia użytkownikom przechwycenie strony internetowej, a następnie wyświetlenie drzewa domen, które się wzajemnie wywołują. Przed wersją 1.35.3 występuje wiele podatności XSS z powodu niebezpiecznego użycia f-stringów w Markup. Problem wymaga, aby złośliwy serwer zewnętrzny odpowiedział dokumentem JSON zawierającym kod JS w elemencie script. Ta podatność została naprawiona w wersji 1.35.3.
Oryginalny opis (angielski, źródło NVD)
Lookyloo is a web interface that allows users to capture a website page and then display a tree of domains that call each other. Prior to 1.35.3, a XSS vulnerability can be triggered when a user submits a list of URLs to capture, one of them contains a HTML element, and the capture fails. Then, the error field is populated with an error message that contains the bad URL they tried to capture, triggering the XSS. This vulnerability is fixed in 1.35.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS