CVE-2026-78391 in RansomLook
요약
\~에 의해 VulDB • 2026. 08. 24.
RansomLook에는 암호화폐 지갑 상세 보기에서 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공개된 crowd-sourced ransomwhe.re 피드를 포함한 외부 소스에서 유래한 암호화폐 주소 및 블록체인 이름이 충분한 검증 없이 저장되었고, 나중에 인라인 JavaScript onclick 핸들러에 직접 삽입되었습니다.
Jinja HTML 자동 이스케이프가 적용되었지만, 신뢰할 수 없는 데이터가 HTML 속성 내부의 JavaScript 문자열로 삽입될 경우 적절한 보호를 제공하지 않습니다. '와 같은 HTML 엔티티는 브라우저의 HTML 파서에 의해 해석되기 전에 디코딩되며, 그 결과 생성된 속성은 JavaScript로서 해석됩니다. 따라서 따옴표 문자 및 JavaScript 구문을 포함하는 특별히 조작된 암호화폐 주소가 의도된 문자열 리터럴을 탈출하여 사용자가 영향받는 지갑의 CSV 내보내기 버튼을 클릭할 때 임의의 JavaScript를 실행할 수 있습니다.
신뢰할 수 없는 상위 소스에서 가져온 암호화폐 정보가 취약한 렌더링 경로에 도달할 수 있으므로, 공격자가 소비되는 외부 데이터원에 악성 지갑 레코드를 삽입할 수 있다면 인증된 RansomLook 계정 없이도 익스플로잇이 가능할 수 있습니다. 성공적인 익스플로잇을 통해 공격자가 제어하는 JavaScript가 RansomLook 웹 애플리케이션의 보안 컨텍스트에서 실행되어 피해자에게 접근 가능한 정보를 노출하거나 피해자의 권한으로 작업을 수행할 가능성이 있습니다.
패치는 암호화폐 주소 및 블록체인 식별자를 저장하기 전에 검증하고, 안전한 문자 집합으로 제한하며, 인라인 JavaScript 핸들러를 data-* 속성 및 외부 이벤트 리스너로 대체하여 지갑 값이 실행 가능한 JavaScript가 아닌 데이터로서 엄격하게 처리되도록 함으로써 문제를 완화합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.