CVE-2026-78391 in RansomLook
Zusammenfassung
von VulDB • 24.08.2026
RansomLook weist eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle in der Detailansicht von Kryptowährungs-Wallets auf. Von externen Quellen, einschließlich des öffentlichen, crowd-sourced ransomwhe.re-Feeds stammende Kryptowährungsadressen und Blockchain-Namen wurden ohne ausreichende Validierung gespeichert und später direkt in einen inline JavaScript onclick-Handler eingebettet.
Obwohl die automatische HTML-Escaping-Funktion von Jinja angewendet wurde, bietet sie keinen angemessenen Schutz, wenn nicht vertrauenswürdige Daten in eine JavaScript-Zeichenfolge innerhalb eines HTML-Attributs eingefügt werden. HTML-Entitäten wie ' werden vom HTML-Parser des Browsers decodiert, bevor das resultierende Attribut als JavaScript interpretiert wird. Folglich könnte speziell angefertigte Kryptowährungsadressen, die Anführungszeichen und JavaScript-Syntax enthalten, aus dem beabsichtigten String-Literal entkommen und willkürlichen JavaScript-Code ausführen, wenn ein Benutzer auf den CSV-Export-Button der betroffenen Wallet klickt.
Da Kryptowährungsinformationen, die von einer nicht vertrauenswürdigen Upstream-Quelle importiert wurden, den anfälligen Rendering-Pfad erreichen können, muss für eine Ausnutzung möglicherweise kein authentifiziertes RansomLook-Konto vorhanden sein, wenn es einem Angreifer gelingt, einen bösartigen Wallet-Eintrag in eine verbrauchte externe Datenquelle einzubringen. Eine erfolgreiche Ausnutzung könnte es dem Angreifer ermöglichen, von ihm kontrollierten JavaScript-Code im Sicherheitskontext der RansomLook-Webanwendung auszuführen, was potenziell Informationen offenlegen kann, die für das Opfer zugänglich sind, oder Aktionen mit den Berechtigungen des Opfers durchführen lässt.
Der Patch mildert das Problem, indem Kryptowährungsadressen und Blockchain-Identifikatoren vor dem Speichern validiert werden, sie auf einen sicheren Zeichensatz beschränkt werden und der inline JavaScript-Handler durch data-* Attribute und einen externen Event Listener ersetzt wird, sodass Wallet-Werte strikt als Daten und nicht als ausführbarer JavaScript-Code behandelt werden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.