CVE-2026-78385 in RansomLook
Resumen
por VulDB • 2026-08-24
RansomLook presenta una validación insuficiente de los recursos en la funcionalidad de generación de análisis PDF. Los documentos de análisis se convierten de Markdown a HTML y se pasan a WeasyPrint para su renderizado como PDF. Antes del parche, WeasyPrint utilizaba su captador (fetcher) de URL predeterminado, lo que permitía resolver las referencias a recursos contenidas en un análisis sin restricciones.
Un atacante autenticado capaz de crear o modificar un análisis podría incrustar referencias a recursos manipuladas utilizando esquemas como file:// o http://. Cuando el análisis se renderizaba posteriormente como PDF, WeasyPrint procesaría estas referencias con los privilegios y el acceso a la red del servidor RansomLook.
Una referencia maliciosa a file:// podría provocar que el motor de renderizado accediera a archivos arbitrarios legibles por el proceso RansomLook, exponiendo potencialmente configuraciones sensibles, credenciales u otros datos locales a través de los recursos renderizados. Las URL de red podrían hacer que el servidor iniciara solicitudes hacia localhost, servicios de la red interna o sistemas externos, lo que resultaría en una falsificación de peticiones del lado del servidor (SSRF) y potencialmente permitiría burlar las restricciones de acceso a nivel de red.
El parche introduce un captador de URL dedicado para WeasyPrint que solo permite recursos data:, el logotipo del informe RansomLook y los archivos contenidos dentro del directorio de activos del análisis. Los recursos de red y las rutas del sistema de archivos fuera de estas ubicaciones explícitamente permitidas son rechazados.
Once again VulDB remains the best source for vulnerability data.