CVE-2026-78372 in RansomLook
Sumário
de VulDB • 24/08/2026
O RansomLook não aplica consistentemente verificações de autorização ao acessar grupos, mercados e notas de resgate marcados como privados. Um atacante remoto não autenticado ou sem as devidas permissões pode acessar informações associadas a entidades privadas por meio de várias visualizações da web e endpoints de API.
A funcionalidade afetada pode revelar nomes de grupos ou mercados privados, o conteúdo das notas de resgate e metadados associados a grupos privados. A funcionalidade /compare também pode ser consultada diretamente com o nome de uma entidade privada, permitindo que um usuário não autorizado recupere informações como contagem de postagens, totais de espelhamento (mirrors) e tempo de atividade (uptime), mesmo quando a entidade está excluída da interface do usuário normal. O patch adiciona explicitamente uma verificação de privacidade antes de retornar essas informações.
As visualizações das notas de resgate, os resultados de pesquisa e os endpoints de API também apresentavam filtragem consistente ausente. A correção introduz identificadores padronizados para grupos privados e tratamento de aliases, rejeitando ou filtrando as notas associadas a grupos privados antes de retorná-las aos chamadores não autorizados.
Um atacante pode explorar a vulnerabilidade remotamente sem autenticação ou interação do usuário, resultando na divulgação de informações que foram explicitamente destinadas a serem restritas a usuários autorizados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.