CVE-2026-85242

PlaywrightCapture-ın favicon əldə etmə funksionallığında server tərəfli sorğu saxtakarlığı (SSRF) zəifliyi mövcuddur. only_global_lookup aktiv olduqda, tətbiq localhost, loopback və ya digər qeyri-ictimai şəbəkə ünvanlarına sorğuların qarşısını almaq üçün ilkin favicon URL-ni yoxlayır. Lakin aiohttp vasitəsilə həyata keçirilən yönləndirmələr (redirects) eyni yoxlamaya məruz qalmamışdır. PlaywrightCapture tərəfindən emal edilən səhifənin məzmununa təsir edə bilən hücumçu, 127.0.0.1, localhost və ya daxili şəbəkə xidməti kimi lokal və ya məhdudlaşdırılmış ünvana HTTP yönləndirməsi ilə cavab verən, ictimaiyyətə açıq bir favicon URL-i təyin edə bilər. aiohttp yönləndirməni avtomatik izlədiyi üçün nəticədə yaranan sorğu tətbiqin lokal ünvan məhdudiyyətlərini yan keçə bilər və PlaywrightCapture hostunun xaricdən əlçatan olmamalı olan resurslara HTTP sorğuları göndərməsinə səbəb ola bilər. PlaywrightCapture hostundan əlçatan olan xidmətlərdən və əldə edilən favicon məlumatlarının sonradan necə açıqlanmasından və ya emal edilməsindən asılı olaraq, bu, daxili HTTP xidmətlərini araşdırmaq və ya potensial olaraq əlaqə qurulması mümkün olmayan son nöqtələrdən (endpoints) məlumat əldə etmək üçün istifadə edilə bilər. Yamaq, yönləndirmə zəncirindəki hər bir sorğuya mövcud lokal-URL yoxlamasını tətbiq edən aiohttp sorğu proqram təminatını (middleware) təqdim edir. Məhdudlaşdırılmış/lokal təyinatlara yönəlmiş sorğular göndərilməzdən əvvəl rədd edilir.