CVE-2026-78370 in RansomLook
要約
〜によって VulDB • 2026年08月24日
RansomLookには、レガシーなデータベースエクスポート機能に認可の欠陥があり、認証されていないリモートユーザーが機密性の高い情報を取得できる可能性があります。
/export/<database>エンドポイントでは、認証を要求せずに選択された内部データベースのエクスポートが可能です。一部のエンティティデータベースに対して限定的なフィルタリングが行われますが、他のエクスポート可能なデータベースは、アプリケーションのプライベートエンティティへのアクセス制限が一貫して適用されずに直接返されます。その結果、グループ、マーケット、投稿、または「プライベート」とマークされたその他のレコードに関連する情報が、認証されていないリクエスト元でもアクセス可能なエクスポートに含まれる可能性があります。
RansomLook Webアプリケーションに到達できる攻撃者は、影響を受けるエクスポートエンドポイントを要求し、認可済みユーザーのみが利用可能であるべきデータを取得できます。インスタンスの内容によっては、機密性の高いランサムウェアインテリジェンス、被害者情報、内部追跡データ、または公開ビューから意図的に除外されたその他の情報が漏洩する可能性があります。
パッチでは、認証不要のレガシーエクスポートルートが削除され、通常の認証済みAPIアクセスとプライベートエントリーの表示権限を区別する集中型認可処理が導入されました。APIキーには明示的にプライベートデータへのアクセス権限が付与される必要があり、既存のキーはこの特権を自動的に受け取りません。また、同じプライバシーデータのフィルタリングが、APIレスポンスおよびデータベースエクスポートの一貫して適用されます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.