- Yama var
- Son 7 gün
- CWE-233
CVE-2026-55835
Lookyloo'da bildirim parametrelerindeki uyumsuzluk nedeniyle alt sistemde hizmet dışı bırakma riski
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Lookyloo, kullanıcıların bir web sayfasını yakalamasına ve birbirini çağıran alan adlarının bir ağacını görüntülemesine olanak tanıyan bir web arayüzüdür. 1.39.4 sürümünden önce, kimliği doğrulanmamış bir kullanıcı, Lookyloo'nun "yakalamayı bildir" e-postasını istediği zaman tetikleyebilir (bu beklenen bir davranıştır). /json/<uuid>/report API uç noktasındaki (CaptureReport) e-posta ve yorum parametreleri hatalı şekilde aktarılmakta ve as_admin değeri üzerine yazılmaktadır. as_admin değeri True olduğunda, (yapılandırılmışsa) bir MISP örneğinde arama sorgusu tetiklenir ve eşleşen URL'lerin listesi, analiste gönderilen e-postaya eklenir (bildirimi gönderen kullanıcıya değil, bu nedenle bilgi sızma riski yoktur). Bu durum MISP örneğinde hizmet dışı bırakmaya yol açabilir. Bu sorun 1.39.4 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Lookyloo is a web interface that allows users to capture a website page and then display a tree of domains that call each other. Prior to version 1.39.4, an unauthenticated user can trigger Lookyloo's "report a capture" email on demand (this is expected). The /json/<uuid>/report API endpoint (CaptureReport) is incorrectly passing the email and comment parameters, overwriting as_admin. When True, as_admin will trigger a search query on a MISP instance (if configured) and add a list of matching URLs in the email sent to the analyst (not the submitter, so there is no risk of leaking information) . It could potentially cause a DoS on the MISP instance. This issue has been patched in version 1.39.4.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lookyloo | < 1.39.4 | 1.39.4 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.