JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-017419 PlaywrightCaptureはPlaywrightを使用したSplashのシンプルな代替手段です。バージョン1.39.6より前のPlaywrightCaptureは、レンダリングされたページによって開始されるナビゲーションやリソース要求を十分に制限していませんでした。攻撃者が制御するページは、window.location.hrefなどのブラウザ側のリダイレクトメカニズムを悪用して、キャプチャプロセスにfile:// URLを開かせたり、プライベート、ループバック、リンクローカル、またはその他の非公開IPアドレス上にホストされているリソースを要求させたりする可能性がありました。信頼されていないURLを処理する環境でPlaywrightCaptureを使用すると、リモートの攻撃者が内部サービスに対してサーバーサイドリクエストフォージェリを行ったり、キャプチャ環境のローカルファイルにアクセスを試みたりできる恐れがあります。生成および公開されるキャプチャアーチファクトの種類によっては、これらのリソースからの応答がスクリーンショット、保存されたページコンテンツ、ログ、またはその他のキャプチャ出力を通じて漏洩する可能性があります。この脆弱性はバージョン1.39.6で修正されました。 cpe:/a:lookyloo:playwright_capture https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-017419.html Common Vulnerabilities and Exposures (CVE) CVE-2026-44439 https://www.cve.org/CVERecord?id=CVE-2026-44439 National Vulnerability Database (NVD) CVE-2026-44439 https://nvd.nist.gov/vuln/detail/CVE-2026-44439 GitHub LookyLoo - PlaywrightCapture permits access to local files and internal network resources during page capture Advisory Lookyloo/PlaywrightCapture GitHub https://github.com/Lookyloo/PlaywrightCapture/security/advisories/GHSA-687h-xw6f-q2qw JVNDB CWE-918 https://cwe.mitre.org/data/definitions/918.html 関連文書 fix: Detect and block requests to internal ressources Lookyloo/PlaywrightCapture@49e289e GitHub https://github.com/Lookyloo/PlaywrightCapture/commit/49e289eba756e4fbac1322c33cfd111411562405 2026-06-03T15:38:35+09:00 2026-06-03T15:38:35+09:00