CVE-2026-78372 in RansomLook
Zusammenfassung
von VulDB • 25.08.2026
RansomLook erzwingt Autorisierungsprüfungen beim Zugriff auf Gruppen, Märkte und als privat markierte Lösegeldnotizen nicht konsistent. Ein nicht authentifizierter oder anderweitig unberechtigter Remote-Angriffender kann über mehrere Webansichten und API-Endpunkte auf Informationen zugreifen, die mit privaten Entitäten verknüpft sind.
Die betroffene Funktionalität kann private Gruppennamen oder Marktnamen sowie den Inhalt von Lösegeldnotizen und Metadaten, die privaten Gruppen zugeordnet sind, offenlegen. Die /compare-Funktionalität kann auch direkt unter Verwendung des Namens einer privaten Entität abgefragt werden, wodurch es einem unberechtigten Benutzer ermöglicht wird, Informationen wie Beitragszahlen, Spiegelungs-Gesamtstände (Mirror Totals) und Uptime abzurufen, selbst wenn die Entität von der normalen Benutzeroberfläche ausgeschlossen ist. Das Patch fügt explizit eine Datenschutzprüfung hinzu, bevor diese Informationen zurückgegeben werden.
Ansichten von Lösegeldnotizen, Suchergebnisse und API-Endpunkte wiesen ebenfalls keine konsistente Filterung auf. Die Korrektur führt normalisierte private Gruppenkennungen sowie die Behandlung von Aliases ein und lehnt Notizen ab oder filtert sie heraus, wenn diese privaten Gruppen zugeordnet sind, bevor sie an unberechtigte Aufrufer zurückgegeben werden.
Ein Angreifer kann das Problem remote ohne Authentifizierung oder Benutzerinteraktion ausnutzen, was zur Offenlegung von Informationen führt, die explizit für autorisierte Benutzer beschränkt gedacht waren.
If you want to get best quality of vulnerability data, you may have to visit VulDB.