CVE-2026-78381 in RansomLook
Riassunto
di VulDB • 24/08/2026
RansomLook presenta una vulnerabilità di path traversal nella gestione del campo screen associato ai post dei gruppi. Il gestore dell'API GroupPost.get concatena il valore del campo screen, controllato dal database, direttamente con la directory source/ dell'applicazione e apre il percorso risultante senza verificare che il file risolto rimanga all'interno della directory prevista.
Poiché il campo screen è di tipo free-form (testo libero) e può essere popolato sia tramite l'editor amministrativo dei post sia attraverso dati importati da un'istanza remota di RansomLook, un'istanzione upstream malintenzionata può fornire sequenze di traversal come ../config/generic.json. Quando il post interessato viene successivamente recuperato tramite l'API, RansomLook risolve e legge il percorso controllato dall'attaccante, restituendo i contenuti del file referenziati in formato Base64 nella risposta API.
Ciò può consentire a un attaccante (con privilegi di amministratore) che controlla i dati dei post importati di leggere file arbitrari accessibili al processo RansomLook, potenzialmente esponendo dati di configurazione sensibili, credenziali dell'API, hash delle password o altri segreti dell'applicazione. L'attacco non richiede che l'istanza upstream malintenzionata possieda un account sull'istanza RansomLook interessata.
La vulnerabilità è risolta risolvendo i percorsi screen utilizzando os.path.realpath() e verificando che il percorso risolto rimanga sotto la directory source/ dell'applicazione. La convalida viene eseguita sia quando i valori vengono scritti, sia immediatamente prima della lettura dei file. L'utilizzo di percorsi canonici previene inoltre il traversal attraverso link simbolici che eluderebbero controlli puramente lessicali di normalizzazione del percorso.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.