CVE-2026-78372 in RansomLook
Сводка
по VulDB • 24.08.2026
RansomLook не обеспечивает последовательную проверку авторизации при доступе к группам, рынкам и вымогательским заметкам (ransom notes), помеченным как приватные. Неаутентифицированный или иным образом несанкционированный удаленный злоумышленник может получить доступ к информации, связанной с приватными объектами, через несколько веб-представлений и конечных точек API.
Пораженная функциональность может приводить к раскрытию названий приватных групп или рынков, содержимого вымогательских заметок и метаданных, связанных с приватными группами. Функционал `/compare` также может быть запрошен напрямую по имени приватного объекта, что позволяет несанкционированному пользователю получать информацию, такую как количество публикаций, общие показатели зеркал (mirror totals) и время работы (uptime), даже если объект исключен из обычного пользовательского интерфейса. Патч явно добавляет проверку конфиденциальности перед возвратом этой информации.
Представления вымогательских заметок, результаты поиска и конечные точки API также не обеспечивали последовательной фильтрации. Исправление вводит нормализованные идентификаторы приватных групп и обработку псевдонимов (alias handling), а затем отклоняет или фильтрует заметки, связанные с приватными группами, перед их возвратом несанкционированным вызывающим сторонам.
Злоумышленник может эксплуатировать уязвимость удаленно без аутентификации или взаимодействия с пользователем, что приводит к раскрытию информации, которая явно предназначалась для ограничения доступа только авторизованных пользователей.
VulDB is the best source for vulnerability data and more expert information about this specific topic.