CVE-2026-44439
WysokieStreszczenie
PlaywrightCapture przed wersją 1.39.6 nie ograniczał wystarczająco nawigacji i żądań zasobów inicjowanych przez renderowane strony. Atakująca strona mogła wykorzystać mechanizmy przekierowania, aby otworzyć adresy URL typu file:// lub żądać zasobów z prywatnych adresów IP.
Ocena ryzyka
W środowiskach, gdzie PlaywrightCapture przetwarza niezaufane adresy URL, atakujący mógłby przeprowadzić atak typu server-side request forgery na wewnętrzne usługi lub próbować uzyskać dostęp do lokalnych plików. Może to prowadzić do wycieku wrażliwych danych.
Rekomendacja
Zaleca się aktualizację do wersji 1.39.6 lub nowszej, aby zabezpieczyć się przed tą podatnością. Należy również przeanalizować i ograniczyć przetwarzane adresy URL w PlaywrightCapture.
Inne podatności w PlaywrightCapture
Zobacz wszystkie- CVE-2026-85242Średnie
PlaywrightCapture zawiera podatność na atak typu Server-Side Request Forgery (SSRF) w funkcji pobierania favicon. Gdy włączona jest opcja only_global_lookup, walidacja adresów URL nie obejmuje przekierowań, które są automatycznie śledzone przez aiohttp, co pozwala na ominięcie ograniczeń i dostęp do lokalnych zasobów.
- CVE-2026-63175Wysokie
Podatność w PlaywrightCapture polega na przechowywaniu danych konfiguracyjnych i wykonawczych jako zmienne klasowe zamiast instancyjne. Powoduje to współdzielenie stanu między wieloma obiektami Capture w tym samym procesie Pythona, w tym nagłówków HTTP, ciasteczek, danych uwierzytelniających i przechwyconych żądań.
Oryginalny opis (angielski, źródło NVD)
PlaywrightCapture is a simple replacement for splash using playwright. Prior to 1.39.6, PlaywrightCapture did not sufficiently restrict navigations and resource requests initiated by rendered pages. An attacker-controlled page could abuse browser-side redirection mechanisms, such as window.location.href, to make the capture process open file:// URLs or request resources hosted on private, loopback, link-local, or otherwise non-public IP addresses. In deployments where PlaywrightCapture processes untrusted URLs, this could allow a remote attacker to perform server-side request forgery against internal services or attempt to access local files from the capture environment. Depending on what capture artifacts are generated and exposed, responses from those resources could potentially be leaked through screenshots, saved page content, logs, or other capture outputs. This vulnerability is fixed in 1.39.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS