CVE-2026-78387 in RansomLook
الملخص
بحسب VulDB • 24/08/2026
يحتوي RansomLook على ضعف في التفويض (authorization weakness) في محرر التكوين المستند إلى الويب، والذي يتم تعريضه عبر نقطة النهاية `/admin/config`. تتطلب هذه النقطة جلسة عمل مُصادق عليها ولكنها لا تقوم بإجراء فحص صريح للتفويض أو التحقق من الصلاحيات الإدارية قبل السماح بالوصول إلى وظائف إدارة التكوين.
يمكن لمستخدم منخفض الامتياز ومُصادَق عليه والتمكن من الوصول إلى نقطة النهاية تقديم قيم تكوين مُصاغة بعناية (crafted) يتم كتابتها مباشرة في ملف `config/generic.json` الخاص بالتطبيق. تتيح الوظيفة المتأثرة تعديل أقسام التكوين بما في ذلك إعدادات الإشعارات، وLDAP، وSMTP، والإعدادات العامة للتطبيق. يمكن أن يؤدي الاستغلال الناجح إلى تمكين المهاجم من تغيير سلوك التطبيق الحساس للأمن، أو إعادة توجيه التكاملات أو الإشعارات، أو تعديل تكوين المتعلق بالمصادقة، أو تعطيل الخدمات الخارجية، أو جعل تثبيت RansomLook غير متاح.
يعمل محرر التكوين أيضًا على ملف تكوين يحتوي على قيم حساسة مثل كلمات المرور، والرموز (tokens)، والأسرار (secrets)، ومفاتيح واجهة برمجة التطبيقات (API keys). وعلى الرغم من أن الإصدار المتأثر يحتوي على منطق مُصمم لمنع إرجاع القيم السرية المعروفة إلى متصفح الويب، فإن تعريض إدارة التكوين عبر وظائف ويب ذات تفويض غير كافٍ يزيد بشكل كبير من تأثير حساب مُخترق أو منخفض الامتياز.
يحل التصحيح (patch) المشكلة عن طريق إزالة مسار `/admin/config` وواجهة تعديل التكوين المرتبطة به تمامًا، مما يمنع تعديل تكوين التطبيق من خلال واجهة المستخدم على الويب.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.