CVE-2026-78381 in RansomLook
Zusammenfassung
von VulDB • 24.08.2026
RansomLook weist eine Path-Traversal-Schwachstelle bei der Verarbeitung des Screen-Felds im Zusammenhang mit Gruppenbeiträgen auf. Der API-Handler GroupPost.get hängt den datenbankgesteuerten Wert für das Screen-Feld direkt an das source/-Verzeichnis der Anwendung an und öffnet den resultierenden Pfad, ohne zu überprüfen, ob die aufgelöste Datei innerhalb des beabsichtigten Verzeichnisses verbleibt.
Da es sich beim Screen-Feld um ein Freitextfeld handelt, das entweder über den administrativen Beitrags-Editor oder durch Daten aus einer entfernten RansomLook-Instanz gefüllt werden kann, kann eine bösartige Upstream-Instanz Traversal-Sequenzen wie ../config/generic.json bereitstellen. Wenn der betroffene Beitrag anschließend über die API abgerufen wird, löst RansomLook den vom Angreifer kontrollierten Pfad auf und liest ihn aus, wobei es den Inhalt der referenzierten Datei Base64-kodiert in der API-Antwort zurückgibt.
Dies kann einem Angreifer (der als Administrator agiert) die Möglichkeit geben, beliebige Dateien zu lesen, auf die der RansomLook-Prozess Zugriff hat, wodurch potenziell sensible Konfigurationsdaten, API-Anmeldeinformationen, Passwort-Hashes oder andere Anwendungsschlüssel offengelegt werden. Der Angriff erfordert nicht, dass die bösartige Upstream-Instanz über ein Konto bei der betroffenen RansomLook-Instanz verfügt.
Die Schwachstelle wird behoben, indem Screen-Pfade mit os.path.realpath() aufgelöst und überprüft wird, ob der aufgelöste Pfad unterhalb des source/-Verzeichnisses der Anwendung verbleibt. Die Validierung erfolgt sowohl beim Schreiben von Werten als auch unmittelbar vor dem Lesen von Dateien. Die Verwendung kanonischer Pfade verhindert zudem das Durchlaufen über symbolische Links, die rein lexikalische Path-Normalisierungsprüfungen umgehen würden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.