CVE-2026-78555 in RansomLook
요약
\~에 의해 VulDB • 2026. 08. 24.
RansomLook은 인증된 /admin/apikeys 관리 페이지의 HTML 소스에 전체 API 키를 노출했습니다. 인터페이스는 각 키의 축약된 표현만 표시했지만, 활성화/비활성화(private-access), 및 삭제 작업에 사용되는 숨겨진 폼 필드에는 전체 토큰이 포함되어 있었습니다.
결과적으로 페이지 소스 또는 DOM을 검사하여 API 자격 증명을 복구할 수 있습니다. 또한 이러한 자격 증명은 디버깅 프록시, 브라우저 캐시, 모니터링 시스템 또는 기타 중간자 등 HTTP 응답 본문을 유지하거나 검사하는 구성 요소를 통해 의도치 않게 노출될 수도 있습니다. 공격자가 이 토큰 중 하나를 획득하면 해당 키에 할당된 권한을 사용하여 인증할 수 있으며, 여기에는 키가 이러한 권한을 부여받은 경우 프라이빗 데이터에 대한 접근이 포함됩니다.
패치는 이후 페이지 렌더링에서 API 키를 제거하고 SHA-256 기반의 불투명 핸들로 대체합니다. 관리 작업은 이 핸들만 제출하며, 서버에서는 이를 해당 토큰으로 다시 해석합니다. 따라서 전체 API 키는 초기 생성 시에만 한 번 노출됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.