CVE-2026-55835 Denegación de servicio en subsistema por parámetros incorrectos en notificación de Lookyloo

Qué es CVE-2026-55835

El endpoint /json/uuid/report (CaptureReport) pasa incorrectamente los parámetros email y comment, sobrescribiendo as_admin. Un usuario no autenticado puede disparar el correo de "report a capture" y, si hay una instancia MISP configurada, provocar una búsqueda que podría causar una denegación de servicio en esa instancia. Corregido en la versión 1.39.4.

Productos y versiones afectadas

• Lookyloo lookyloo

  • < 1.39.4

Qué hacer

1. Verificá si usás lookyloo y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 6.9 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:N/SA:L

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Baja

Abrir la calculadora completa →

Descripción original

Lookyloo is a web interface that allows users to capture a website page and then display a tree of domains that call each other. Prior to version 1.39.4, an unauthenticated user can trigger Lookyloo's "report a capture" email on demand (this is expected). The /json/<uuid>/report API endpoint (CaptureReport) is incorrectly passing the email and comment parameters, overwriting as_admin. When True, as_admin will trigger a search query on a MISP instance (if configured) and add a list of matching URLs in the email sent to the analyst (not the submitter, so there is no risk of leaking information) . It could potentially cause a DoS on the MISP instance. This issue has been patched in version 1.39.4.

Referencias

• github.com/Lookyloo/lookyloo/security/advisories/GHSA-66gj-hmcp-5cfjX_REFSOURCE_CONFIRM
• github.com/Lookyloo/lookyloo/pull/1330X_REFSOURCE_MISC
• github.com/Lookyloo/lookyloo/commit/d5b9a401998cd50b88e5d7425f82baac78d8f082X_REFSOURCE_MISC
• github.com/Lookyloo/lookyloo/releases/tag/v1.39.4X_REFSOURCE_MISC

Historial de la alerta

1. 23 OCT · 02:44VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.