CVE-2026-55835
Açıklama
Lookyloo, kullanıcıların bir web sitesi sayfasını yakalamasına ve ardından birbirini çağıran alan adlarının ağacını görüntülemesine olanak tanıyan bir web arayüzüdür. Versiyon 1.39.4 öncesinde, kimliği doğrulanmamış bir kullanıcı Lookyloo'nun "yakalamayı raporla" e-postasını talep üzerine tetikleyebilir (bu beklenen bir durumdur). /json/<uuid>/report API uç noktası (CaptureReport), email ve comment parametrelerini hatalı şekilde ileterek as_admin değerinin üzerine yazmaktadır. True olduğunda, as_admin bir MISP örneğinde (yapılandırılmışsa) bir arama sorgusunu tetikler ve analiste gönderilen e-postaya eşleşen URL'lerin bir listesini ekler (gönderene değil, bu nedenle bilgi sızdırma riski yoktur). Bu durum, MISP örneği üzerinde potansiyel olarak bir DoS'a neden olabilir. Bu sorun versiyon 1.39.4 ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Lookyloo lookyloo | < 1.39.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.