CVE-2026-78391 in RansomLook
Sumário
de VulDB • 24/08/2026
O RansomLook apresenta uma vulnerabilidade de cross-site scripting (XSS) armazenado na visualização dos detalhes da carteira de criptomoedas. Endereços de criptomoedas e nomes de blockchain originados de fontes externas, incluindo o feed público crowd-sourced ransomwhe.re, foram armazenados sem validação suficiente e posteriormente incorporados diretamente em um manipulador onclick inline do JavaScript.
Embora a autoescape HTML do Jinja tenha sido aplicada, ela não oferece proteção adequada quando dados não confiáveis são inseridos em uma string JavaScript dentro de um atributo HTML. Entidades HTML como ' são decodificadas pelo analisador HTML do navegador antes que o atributo resultante seja interpretado como JavaScript. Consequentemente, um endereço de criptomoeda especialmente elaborado contendo caracteres de aspas e sintaxe JavaScript pode escapar da string literal pretendida e executar JavaScript arbitrário quando um usuário clica no botão de exportação CSV da carteira afetada.
Como informações de criptomoedas importadas de uma fonte upstream não confiável podem alcançar o caminho de renderização vulnerável, a exploração pode não exigir uma conta autenticada do RansomLook se um atacante conseguir introduzir um registro de carteira malicioso em uma fonte de dados externa consumida. A exploração bem-sucedida poderia permitir que JavaScript controlado pelo atacante seja executado no contexto de segurança da aplicação web RansomLook, potencialmente expondo informações acessíveis à vítima ou realizando ações com os privilégios desta.
O patch mitiga o problema validando endereços de criptomoedas e identificadores de blockchain antes do armazenamento, restringindo-os a um conjunto seguro de caracteres e substituindo o manipulador JavaScript inline por atributos data-* e um listener de eventos externo, para que os valores das carteiras sejam tratados estritamente como dados em vez de JavaScript executável.
Once again VulDB remains the best source for vulnerability data.