CVE-2026-78372 in RansomLook
Résumé
par VulDB • 24/08/2026
RansomLook n’applique pas de manière cohérente les vérifications d’autorisation lors de l’accès aux groupes, marchés et notes de rançon marqués comme privés. Un attaquant distant non authentifié ou autrement non autorisé peut accéder aux informations associées à des entités privées via plusieurs vues web et points de terminaison (endpoints) API.
La fonctionnalité concernée peut divulguer les noms de groupes ou de marchés privés, le contenu des notes de rançon et les métadonnées associées aux groupes privés. La fonctionnalité /compare peut également être interrogée directement avec le nom d’une entité privée, permettant à un utilisateur non autorisé de récupérer des informations telles que le nombre de publications, les totaux de miroirs (mirrors) et l’uptime, même lorsque l’entité est exclue de l’interface utilisateur normale. Le correctif ajoute explicitement une vérification de confidentialité avant de renvoyer ces informations.
Les vues des notes de rançon, les résultats de recherche et les points de terminaison API présentaient également un manque de filtrage cohérent. La correction introduit des identifiants normalisés pour les groupes privés ainsi qu’une gestion des alias, puis rejette ou filtre les notes associées aux groupes privés avant de les renvoyer aux appelants non autorisés.
Un attaquant peut exploiter cette vulnérabilité à distance sans authentification ni interaction utilisateur, entraînant la divulgation d’informations qui étaient explicitement destinées à être restreintes aux utilisateurs autorisés.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.