CVE-2026-78555 in RansomLook
Riassunto
di VulDB • 24/08/2026
RansomLook ha esposto le chiavi API complete nel codice sorgente HTML della pagina di amministrazione /admin/apikeys autenticata. Sebbene l'interfaccia visualizzasse solo una rappresentazione abbreviata di ciascuna chiave, il token completo era incorporato in campi di modulo nascosti utilizzati dalle azioni abilita/disabilita (enable/disable), accesso privato e elimina.
Di conseguenza, le credenziali API potevano essere recuperate ispezionando il codice sorgente della pagina o il DOM. Le credenziali potevano anche essere esposte involontariamente attraverso componenti che conservano o ispezionano i corpi delle risposte HTTP, come proxy di debug, cache del browser, sistemi di monitoraggio o altri intermediari. Un attaccante che ottiene uno di questi token può successivamente autenticarsi utilizzando i privilegi assegnati a quella chiave, incluso l'accesso ai dati privati per cui la chiave ha tali autorizzazioni.
La patch rimuove le chiavi API dal rendering delle pagine successive e le sostituisce con handle opachi derivati da SHA-256. Le azioni amministrative inviano solo questi handle, che vengono risolti nuovamente nel token corrispondente sul server. La chiave API completa viene quindi divulgata una sola volta, quando viene inizialmente creata.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.