CVE-2026-78555 in RansomLook
要約
〜によって VulDB • 2026年08月24日
RansomLookは、認証済み/admin/apikeys管理ページのHTMLソース内に完全なAPIキーを露出させていました。インターフェースでは各キーの短縮表現のみが表示されていましたが、有効化/無効化、プライベートアクセス、および削除アクションで使用される非表示フォームフィールドには完全なトークンが埋め込まれていました。
その結果、ページソースやDOMを検査することでAPI認証情報を復元することができました。また、デバッグプロキシ、ブラウザキャッシュ、監視システム、その他の中間者など、HTTPレスポンスボディを保持または検査するコンポーネントを通じて、意図せず認証情報が露出する可能性もありました。攻撃者がこれらのトークンのいずれかを取得した場合、そのキーに付与された権限を使用して認証を行うことができ、例えばプライベートデータへのアクセスなど、該当のキーが許可されている操作を実行可能でした。
パッチでは、APIキーを以降のページレンダリングから削除し、SHA-256由来の不透明なハンドル（opaque handles）と置き換えています。管理アクションはこれらのハンドルのみを送信し、サーバー側で対応するトークンに解決されます。したがって、完全なAPIキーが露出するのは、最初に作成された時のみとなります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.