JVNDB-2026-017419

LookylooのPlaywright Captureにおけるサーバサイドのリクエストフォージェリの脆弱性

PlaywrightCaptureはPlaywrightを使用したSplashのシンプルな代替手段です。バージョン1.39.6より前のPlaywrightCaptureは、レンダリングされたページによって開始されるナビゲーションやリソース要求を十分に制限していませんでした。攻撃者が制御するページは、window.location.hrefなどのブラウザ側のリダイレクトメカニズムを悪用して、キャプチャプロセスにfile:// URLを開かせたり、プライベート、ループバック、リンクローカル、またはその他の非公開IPアドレス上にホストされているリソースを要求させたりする可能性がありました。信頼されていないURLを処理する環境でPlaywrightCaptureを使用すると、リモートの攻撃者が内部サービスに対してサーバーサイドリクエストフォージェリを行ったり、キャプチャ環境のローカルファイルにアクセスを試みたりできる恐れがあります。生成および公開されるキャプチャアーチファクトの種類によっては、これらのリソースからの応答がスクリーンショット、保存されたページコンテンツ、ログ、またはその他のキャプチャ出力を通じて漏洩する可能性があります。この脆弱性はバージョン1.39.6で修正されました。

Lookyloo

• Playwright Capture 1.39.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : LookyLoo - PlaywrightCapture permits access to local files and internal network resources during page capture  Advisory  Lookyloo/PlaywrightCapture  GitHub

1. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-44439

1. National Vulnerability Database (NVD) : CVE-2026-44439
2. 関連文書 : fix: Detect and block requests to internal ressources  Lookyloo/PlaywrightCapture@49e289e  GitHub

• [2026年06月03日]
    掲載