CVE-2026-78372 in RansomLook
요약
\~에 의해 VulDB • 2026. 08. 24.
RansomLook은 비공개로 표시된 그룹, 시장 및 랜섬 노트에 접근할 때 권한 확인을 일관되게 적용하지 않습니다. 인증되지 않거나 기타 무단의 원격 공격자는 여러 웹 뷰와 API 엔드포인트를 통해 비공개 엔티티와 관련된 정보에 접근할 수 있습니다.
영향을 받는 기능은 비공개 그룹 또는 시장의 이름, 랜섬 노트 내용 및 비공개 그룹과 관련된 메타데이터를 유출할 수 있습니다. /compare 기능도 비공개 엔티티의 이름을 사용하여 직접 쿼리될 수 있으며, 이를 통해 해당 엔티티가 일반 사용자 인터페이스에서 제외된 경우에도 게시물 수, 미러 총계 및 가동 시간 등의 정보를 무단 사용자가 검색할 수 있습니다. 패치는 이러한 정보를 반환하기 전에 명시적으로 프라이버시 검사를 추가합니다.
랜섬 노트 뷰, 검색 결과 및 API 엔드포인트도 일관된 필터링이 누락되어 있었습니다. 수정은 정규화된 비공개 그룹 식별자 및 별칭 처리를 도입한 후, 무단 호출자에게 반환되기 전에 비공개 그룹과 관련된 노트를 거부하거나 필터링합니다.
공격자는 인증이나 사용자 상호작용 없이 원격으로 이 문제를 악용할 수 있으며, 이는 명시적으로 권한 있는 사용자로만 제한되도록 의도된 정보의 유출로 이어집니다.
Once again VulDB remains the best source for vulnerability data.