CVE-2026-55835
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Lookyloo przed wersją 1.39.4 pozwala nieuwierzytelnionemu użytkownikowi wywołać e-mail „report a capture” na żądanie (co jest oczekiwane). Endpoint API /json/<uuid>/report (CaptureReport) niepoprawnie przekazuje parametry email i comment, nadpisując as_admin. Gdy as_admin jest True, wywoływane jest zapytanie do instancji MISP (jeśli skonfigurowana) i dodawana jest lista pasujących URLi w e-mailu wysyłanym do analityka (nie do zgłaszającego, więc nie ma ryzyka wycieku informacji). Może to potencjalnie spowodować DoS na instancji MISP.
Ocena ryzyka
Możliwe jest przeciążenie instancji MISP poprzez wymuszone zapytania, co może prowadzić do odmowy usługi dla analityków. Nie ma ryzyka wycieku informacji, ponieważ e-mail trafia do analityka.
Rekomendacja
Zaktualizuj Lookyloo do wersji 1.39.4 lub nowszej. Monitoruj obciążenie instancji MISP i rozważ ograniczenie dostępu do endpointu report.
Inne podatności w Lookyloo
Zobacz wszystkie- CVE-2025-65095Krytyczne
Lookyloo przed wersją 1.35.1 ma potencjalną podatność na cross-site scripting (XSS) na stronie indeksu i drzewa. Problem został naprawiony w wersji 1.35.1.
- CVE-2026-73210Średnie
W Lookyloo's PlaywrightCapture wykryto podatność SSRF (Server-Side Request Forgery) występującą, gdy włączona jest opcja only_global_lookup. Pobieranie favicon odbywało się poza zabezpieczeniami routingu przeglądarki, co pozwalało atakującemu na wysłanie żądania HTTP do wewnętrznych zasobów (np. adresów loopback, prywatnych IP) poprzez spreparowaną stronę internetową. Łatka wprowadza wspólną walidację URL-i dla pobierania favicon, odrzucając niedozwolone cele.
- CVE-2026-66913Średnie
Lookyloo nie ogranicza rozmiaru dekompresowanych archiwów przechwytywania i skompresowanych plików HAR. Atakujący może przesłać specjalnie spreparowane archiwum ZIP, gzip lub zlib, które po dekompresji zajmuje bardzo dużo pamięci, powodując wyczerpanie pamięci i odmowę usługi.
- CVE-2025-66460Średnie
Lookyloo to interfejs webowy, który umożliwia użytkownikom przechwycenie strony internetowej, a następnie wyświetlenie drzewa domen, które się wzajemnie wywołują. Przed wersją 1.35.3 Lookyloo przekazywał niepoprawnie escapowane wartości do komórek renderowanych w datatables przy użyciu funkcji orthogonal-data. Jest to zdecydowanie wykorzystywalne z widoku popup, ale najprawdopodobniej również w wielu innych miejscach. Ta podatność została naprawiona w wersji 1.35.3.
- CVE-2025-66459Średnie
Lookyloo to interfejs webowy umożliwiający przechwytywanie stron internetowych i wyświetlanie drzewa domen, które się wzajemnie wywołują. W wersjach przed 1.35.3 podatność XSS może zostać wywołana, gdy użytkownik zgłosi listę adresów URL do przechwycenia, jeden z nich zawiera element HTML, a przechwycenie się nie powiedzie. Pole błędu zostaje wówczas wypełnione komunikatem zawierającym błędny adres URL, co wyzwala XSS. Podatność została naprawiona w wersji 1.35.3.
- CVE-2025-66458Średnie
Lookyloo to interfejs webowy, który umożliwia użytkownikom przechwycenie strony internetowej, a następnie wyświetlenie drzewa domen, które się wzajemnie wywołują. Przed wersją 1.35.3 występuje wiele podatności XSS z powodu niebezpiecznego użycia f-stringów w Markup. Problem wymaga, aby złośliwy serwer zewnętrzny odpowiedział dokumentem JSON zawierającym kod JS w elemencie script. Ta podatność została naprawiona w wersji 1.35.3.
Oryginalny opis (angielski, źródło NVD)
Lookyloo is a web interface that allows users to capture a website page and then display a tree of domains that call each other. Prior to version 1.39.4, an unauthenticated user can trigger Lookyloo's "report a capture" email on demand (this is expected). The /json/<uuid>/report API endpoint (CaptureReport) is incorrectly passing the email and comment parameters, overwriting as_admin. When True, as_admin will trigger a search query on a MISP instance (if configured) and add a list of matching URLs in the email sent to the analyst (not the submitter, so there is no risk of leaking information) . It could potentially cause a DoS on the MISP instance. This issue has been patched in version 1.39.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS