CVE-2026-78378 in RansomLook
Сводка
по VulDB • 24.08.2026
В Ransomlook обнаружена уязвимость внедрения глоб-шаблонов (glob pattern injection) в Redis, вызванная недостаточной нейтрализацией управляемых пользователем данных перед их использованием в паттернах Redis SCAN MATCH.
Конечная точка /api/health/<name> пыталась разрешить предоставленное имя к известной группе или рынку, но при неудаче разрешения она использовала значение, контролируемое злоумышленником, напрямую в качестве шаблона ключа Redis. Таким образом, неавторизованный атакующий мог предоставить глоб-метасимволы Redis, такие как *, ?, [ или ], чтобы расширить операцию SCAN за пределы предполагаемой группы. Например, запрос /api/health/* позволял перечислять информацию о здоровье (health information), слаги зеркал и серии аптайма всех групп и рынков, включая организации, помеченные как частные.
Аналогичная небезопасная интерполяция присутствовала в конечной точке /api/crypto/chain/<chain> и в функции delete_manual_torrent(). Последняя представляет собой потенциально деструктивный приемник (sink), поскольку специально созданный infohash, содержащий глоб-метасимволы, может привести к тому, что сканирование будет соответствовать ключам torrent-health других торрентов, если управляемый атакующим ввод сможет достичь этой функции.
Патч устраняет небезопасный механизм резервного копирования (fallback) в конечной точке health и внедряет экранирование глоб-шаблонов для значений, контролируемых пользователем, перед их использованием в выражениях Redis SCAN MATCH.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.