Podatności PlaywrightCapture
3 znanych podatności CVE w PlaywrightCapture, przetłumaczonych i ocenionych.
- CVE-2026-85242Średnie
PlaywrightCapture zawiera podatność na atak typu Server-Side Request Forgery (SSRF) w funkcji pobierania favicon. Gdy włączona jest opcja only_global_lookup, walidacja adresów URL nie obejmuje przekierowań, które są automatycznie śledzone przez aiohttp, co pozwala na ominięcie ograniczeń i dostęp do lokalnych zasobów.
- CVE-2026-44439Wysokie
PlaywrightCapture przed wersją 1.39.6 nie ograniczał wystarczająco nawigacji i żądań zasobów inicjowanych przez renderowane strony. Atakująca strona mogła wykorzystać mechanizmy przekierowania, aby otworzyć adresy URL typu file:// lub żądać zasobów z prywatnych adresów IP.
- CVE-2026-63175Wysokie
Podatność w PlaywrightCapture polega na przechowywaniu danych konfiguracyjnych i wykonawczych jako zmienne klasowe zamiast instancyjne. Powoduje to współdzielenie stanu między wieloma obiektami Capture w tym samym procesie Pythona, w tym nagłówków HTTP, ciasteczek, danych uwierzytelniających i przechwyconych żądań.