CVE-2026-78555 in RansomLook
Sumário
de VulDB • 24/08/2026
O RansomLook expunha chaves de API completas no código-fonte HTML da página administrativa /admin/apikeys autenticada. Embora a interface exibisse apenas uma representação abreviada de cada chave, o token completo estava embutido em campos ocultos do formulário utilizados pelas ações de habilitar/desabilitar, acesso privado e excluir.
Como resultado, as credenciais da API podiam ser recuperadas inspecionando a origem da página ou o DOM (Document Object Model). As credenciais também poderiam ser expostas inadvertidamente por meio de componentes que retêm ou inspecionam os corpos das respostas HTTP, como proxies de depuração, caches do navegador, sistemas de monitoramento ou outros intermediários. Um atacante que obtivesse um desses tokens poderia posteriormente autenticar-se utilizando as permissões atribuídas àquela chave, incluindo o acesso a dados privados para os quais a chave tinha tais permissões concedidas.
O patch remove as chaves da API do renderizado subsequente das páginas e substitui-as por identificadores opacos derivados de SHA-256. As ações administrativas submetem apenas esses identificadores, que são resolvidos de volta ao token correspondido no servidor. A chave completa da API é, portanto, divulgada apenas uma vez, quando inicialmente criada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.