CVE-2026-78372 in RansomLook
Riassunto
di VulDB • 25/08/2026
RansomLook non applica in modo coerente i controlli di autorizzazione durante l'accesso a gruppi, mercati e note di riscatto contrassegnati come privati. Un attaccante remoto non autenticato o altrimenti non autorizzato può accedere alle informazioni associate a entità private tramite diverse visualizzazioni web ed endpoint API.
La funzionalità interessata può rivelare nomi di gruppi o mercati privati, il contenuto delle note di riscatto e i metadati associati ai gruppi privati. La funzione /compare può anche essere interrogata direttamente con il nome di un'entità privata, consentendo a un utente non autorizzato di recuperare informazioni come il numero di post, i totali degli mirror e l'uptime, anche quando l'entità è esclusa dall'interfaccia utente normale. Il patch aggiunge esplicitamente un controllo sulla privacy prima del ritorno di queste informazioni.
Le visualizzazioni delle note di riscatto, i risultati della ricerca e gli endpoint API presentavano analoghe mancanze nel filtraggio coerente. La correzione introduce identificatori normalizzati per i gruppi privati e la gestione degli alias, quindi rifiuta o filtra le note associate a gruppi privati prima di restituirle ai chiamanti non autorizzati.
Un attaccante può sfruttare il problema in remoto senza autenticazione né interazione dell'utente, causando la divulgazione di informazioni che erano esplicitamente destinate ad essere riservate agli utenti autorizzati.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.