CVE-2025-66460
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Lookyloo to interfejs webowy, który umożliwia użytkownikom przechwycenie strony internetowej, a następnie wyświetlenie drzewa domen, które się wzajemnie wywołują. Przed wersją 1.35.3 Lookyloo przekazywał niepoprawnie escapowane wartości do komórek renderowanych w datatables przy użyciu funkcji orthogonal-data. Jest to zdecydowanie wykorzystywalne z widoku popup, ale najprawdopodobniej również w wielu innych miejscach. Ta podatność została naprawiona w wersji 1.35.3.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwego kodu (XSS) do interfejsu Lookyloo, co może prowadzić do kradzieży danych sesji lub przejęcia konta użytkownika.
Rekomendacja
Zaleca się aktualizację Lookyloo do wersji 1.35.3 lub nowszej, aby wyeliminować tę podatność.
Inne podatności w Lookyloo
Zobacz wszystkie- CVE-2025-65095Krytyczne
Lookyloo przed wersją 1.35.1 ma potencjalną podatność na cross-site scripting (XSS) na stronie indeksu i drzewa. Problem został naprawiony w wersji 1.35.1.
- CVE-2026-73210Średnie
W Lookyloo's PlaywrightCapture wykryto podatność SSRF (Server-Side Request Forgery) występującą, gdy włączona jest opcja only_global_lookup. Pobieranie favicon odbywało się poza zabezpieczeniami routingu przeglądarki, co pozwalało atakującemu na wysłanie żądania HTTP do wewnętrznych zasobów (np. adresów loopback, prywatnych IP) poprzez spreparowaną stronę internetową. Łatka wprowadza wspólną walidację URL-i dla pobierania favicon, odrzucając niedozwolone cele.
- CVE-2026-66913Średnie
Lookyloo nie ogranicza rozmiaru dekompresowanych archiwów przechwytywania i skompresowanych plików HAR. Atakujący może przesłać specjalnie spreparowane archiwum ZIP, gzip lub zlib, które po dekompresji zajmuje bardzo dużo pamięci, powodując wyczerpanie pamięci i odmowę usługi.
- CVE-2025-66459Średnie
Lookyloo to interfejs webowy umożliwiający przechwytywanie stron internetowych i wyświetlanie drzewa domen, które się wzajemnie wywołują. W wersjach przed 1.35.3 podatność XSS może zostać wywołana, gdy użytkownik zgłosi listę adresów URL do przechwycenia, jeden z nich zawiera element HTML, a przechwycenie się nie powiedzie. Pole błędu zostaje wówczas wypełnione komunikatem zawierającym błędny adres URL, co wyzwala XSS. Podatność została naprawiona w wersji 1.35.3.
- CVE-2025-66458Średnie
Lookyloo to interfejs webowy, który umożliwia użytkownikom przechwycenie strony internetowej, a następnie wyświetlenie drzewa domen, które się wzajemnie wywołują. Przed wersją 1.35.3 występuje wiele podatności XSS z powodu niebezpiecznego użycia f-stringów w Markup. Problem wymaga, aby złośliwy serwer zewnętrzny odpowiedział dokumentem JSON zawierającym kod JS w elemencie script. Ta podatność została naprawiona w wersji 1.35.3.
Oryginalny opis (angielski, źródło NVD)
Lookyloo is a web interface that allows users to capture a website page and then display a tree of domains that call each other. Prior to 1.35.3, Lookyloo passed improperly escaped values to cells rendered in datatables using the orthogonal-data feature. It is definitely exploitable from the popup view, but it is most probably also exploitable in many other places. This vulnerability is fixed in 1.35.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS