CVE-2026-78372 in RansomLook
Resumen
por VulDB • 2026-08-24
RansomLook no aplica de manera consistente las comprobaciones de autorización al acceder a grupos, mercados y notas de rescate marcadas como privadas. Un atacante remoto sin autenticar o con permisos insuficientes puede acceder a la información asociada a entidades privadas mediante varias vistas web y puntos finales (endpoints) de API.
La funcionalidad afectada puede revelar nombres privados de grupos o mercados, el contenido de las notas de rescate y los metadatos asociados a grupos privados. La función /compare también se puede consultar directamente con el nombre de una entidad privada, lo que permite a un usuario no autorizado recuperar información como recuentos de publicaciones, totales de espejos (mirrors) y tiempo activo (uptime), incluso cuando la entidad está excluida de la interfaz de usuario normal. El parche añade explícitamente una comprobación de privacidad antes de devolver esta información.
Las vistas de notas de rescate, los resultados de búsqueda y los puntos finales de API carecían igualmente de un filtrado consistente. La corrección introduce identificadores normalizados para grupos privados y el manejo de alias, rechazando o filtrando las notas asociadas a grupos privados antes de devolvérselas a llamantes no autorizados.
Un atacante puede explotar la vulnerabilidad de forma remota sin necesidad de autenticación ni interacción del usuario, lo que provoca la divulgación de información que estaba destinada expresamente a restringirse solo a usuarios autorizados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.