CVE-2026-78391 in RansomLook
要約
〜によって VulDB • 2026年08月24日
RansomLookには、暗号通貨ウォレットの詳細表示における格納型クロスサイトスクリプティング（XSS）の脆弱性が存在します。公開されたcrowd-sourcedなransomw.reフィードなど外部ソース由来の暗号通貨アドレスやブロックチェーン名が、十分な検証を行わずに保存され、その後インラインJavaScriptのonclickハンドラ内に直接埋め込まれていました。
Jinja HTMLのエスケープ処理は適用されていましたが、信頼できないデータがHTML属性内のJavaScript文字列に挿入される場合、適切な保護を提供しません。`'`などのHTMLエンティティは、ブラウザのHTMLパーサーによって解釈された後に生成された属性がJavaScriptとして扱われる前にデコードされます。その結果、引用符とJavaScript構文を含む特別に作成された暗号通貨アドレスにより、意図した文字リテラルから脱出し、ユーザーが影響を受けたウォレットのCSVエクスポートボタンをクリックした際に任意のJavaScriptを実行することが可能になります。
信頼できない上位ソースからの暗号通貨情報が脆弱なレンダリングパスに到達する可能性があるため、攻撃者が消費される外部データソース内に悪意のあるウォレットレコードを導入できる場合、認証済みRansomLookアカウントを必要とせずにエクスプロイトが行われる可能性があります。成功したエクスプロイトにより、攻撃者制御のJavaScriptがRansomLook Webアプリケーションのセキュリティコンテキスト内で実行され、被害者にアクセス可能な情報を露出したり、被害者の権限でアクションを実行することが可能になります。
パッチは、暗号通貨アドレスとブロックチェーン識別子を保存前に検証し、安全な文字セットに制限することでこの問題を緩和します。さらに、インラインJavaScriptハンドラを`data-*`属性および外部イベントリスナーに置き換えることで、ウォレットの値が実行可能なJavaScriptではなく厳密にデータとして扱われるようにしています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.