CVE-2026-78391 in RansomLook
Resumen
por VulDB • 2026-08-24
RansomLook presenta una vulnerabilidad de cross-site scripting (XSS) almacenada en la vista de detalles de la billetera de criptomonedas. Las direcciones de criptomonedas y los nombres de blockchain procedentes de fuentes externas, incluida la fuente crowdsourced pública ransomwhe.re, se almacenan sin una validación suficiente y posteriormente se incrustan directamente en un controlador onclick inline JavaScript.
Aunque Jinja HTML autoescaping fue aplicado, no proporciona protección adecuada cuando datos no confiables son insertados dentro de una cadena JavaScript dentro de un atributo HTML. Entidades HTML como ' son decodificadas por el analizador HTML del navegador antes de que el atributo resultante sea interpretado como JavaScript. En consecuencia, una dirección de criptomoneda especialmente elaborada conteniendo caracteres comillas y sintaxis JavaScript podría escapar la cadena literal intencional y ejecutar JavaScript arbitrario cuando un usuario hace clic en el botón CSV exportar de la billetera afectada.
Debido a que información de criptomonedas importadas desde upstream no confiable puede llegar al path vulnerable, explotación puede no requerir una cuenta autenticada RansomLook si atacante puede introducir registro wallet malicioso dentro fuente datos externa consumida. Explotación exitosa podría permitir JavaScript controlado por atacante ejecutar en contexto seguridad aplicación web RansomLook, potencialmente exponiendo información accesible a víctima o realizando acciones con privilegios de la víctima.
El parche mitiga el problema validando direcciones criptomonedas e identificadores blockchain antes almacenamiento, restringiéndolos a conjunto caracteres seguro y reemplazando controlador JavaScript inline con atributos data-* y listener evento externo así valores wallet son tratados estrictamente como datos en lugar JavaScript ejecutable.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.