Podatności Lookyloo
3 znanych podatności CVE w Lookyloo, przetłumaczonych i ocenionych.
- CVE-2025-65095Krytyczne
Lookyloo przed wersją 1.35.1 ma potencjalną podatność na cross-site scripting (XSS) na stronie indeksu i drzewa. Problem został naprawiony w wersji 1.35.1.
- CVE-2026-73210Średnie
W Lookyloo's PlaywrightCapture wykryto podatność SSRF (Server-Side Request Forgery) występującą, gdy włączona jest opcja only_global_lookup. Pobieranie favicon odbywało się poza zabezpieczeniami routingu przeglądarki, co pozwalało atakującemu na wysłanie żądania HTTP do wewnętrznych zasobów (np. adresów loopback, prywatnych IP) poprzez spreparowaną stronę internetową. Łatka wprowadza wspólną walidację URL-i dla pobierania favicon, odrzucając niedozwolone cele.
- CVE-2026-66913Średnie
Lookyloo nie ogranicza rozmiaru dekompresowanych archiwów przechwytywania i skompresowanych plików HAR. Atakujący może przesłać specjalnie spreparowane archiwum ZIP, gzip lub zlib, które po dekompresji zajmuje bardzo dużo pamięci, powodując wyczerpanie pamięci i odmowę usługi.