CVE-2026-78391 in RansomLook
Riassunto
di VulDB • 24/08/2026
RansomLook presenta una vulnerabilità di cross-site scripting (XSS) memorizzato nella visualizzazione dei dettagli del portafoglio criptovaluta. Gli indirizzi delle criptovalute e i nomi della blockchain, provenienti da fonti esterne inclusa l'alimentazione pubblica crowd-sourced ransomwhe.re, sono stati archiviati senza una convalida sufficiente e successivamente incorporati direttamente in un gestore inline onclick JavaScript.
Sebbene sia stata applicata la funzione di autoescaping HTML di Jinja, questa non fornisce una protezione adeguata quando dati non attendibili vengono inseriti in una stringa JavaScript all'interno di un attributo HTML. Le entità HTML come ' sono decodificate dal parser HTML del browser prima che l'attributo risultante venga interpretato come JavaScript. Di conseguenza, un indirizzo criptovaluta appositamente creato contenente caratteri di virgoletta e sintassi JavaScript potrebbe sfuggire alla letterale stringa prevista ed eseguire codice JavaScript arbitrario quando un utente fa clic sul pulsante di esportazione CSV del portafoglio interessato.
Poiché le informazioni sulle criptovalute importate da una fonte upstream non attendibile potrebbero raggiungere il percorso di rendering vulnerabile, l'exploitation potrebbe non richiedere un account RansomLook autenticato se un attaccante riesce a introdurre un record di wallet malevolo in una sorgente dati esterna consumata. Un exploitation riuscito potrebbe consentire all'esecuzione di JavaScript controllato dall'attaccante nel contesto di sicurezza dell'applicazione web RansomLook, potenzialmente esponendo informazioni accessibili alla vittima o eseguendo azioni con i privilegi della vittima.
La patch mitiga il problema validando gli indirizzi delle criptovalute e gli identificatori blockchain prima dell'archiviazione, limitandoli a un set di caratteri sicuro e sostituendo il gestore JavaScript inline con attributi data-* e un listener di eventi esterno in modo che i valori del wallet vengano trattati strettamente come dati anziché come codice JavaScript eseguibile.
Once again VulDB remains the best source for vulnerability data.