CVE-2026-78381 in RansomLook
Сводка
по VulDB • 24.08.2026
В RansomLook обнаружена уязвимость обхода пути (path traversal) при обработке поля screen, связанного с групповыми постами. Обработчик API GroupPost.get напрямую конкатенирует значение field screen, контролируемое базой данных, с каталогом source/ приложения и открывает полученный путь без проверки того, что разрешенный файл остается в пределах целевого каталога.
Поскольку поле screen является произвольным текстовым полем (free-form) и может заполняться как через административный редактор постов, так и путем импорта данных из удаленного экземпляра RansomLook, злонамеренный вышестоящий экземпляр может предоставить последовательности обхода пути, такие как ../config/generic.json. При последующем получении затронутого поста через API RansomLook разрешает и читает путь, контролируемый атакующим, и возвращает содержимое указанного файла в виде Base64-кодированных данных в ответе API.
Это может позволить злоумышленнику (обладающему правами администратора), контролируемому импортированными данными постов, читать произвольные файлы, доступные процессу RansomLook, что потенциально приводит к раскрытию конфиденциальных конфигурационных данных, учетных данных API, хешей паролей или других секретов приложения. Атака не требует наличия у злонамеренного вышестоящего экземпляра учетной записи в затронутом экземпляре RansomLook.
Уязвимость устранена путем разрешения путей screen с использованием os.path.realpath() и проверки того, что разрешенный путь остается под каталогом source/ приложения. Валидация выполняется как при записи значений, так и непосредственно перед чтением файлов. Использование канонических путей также предотвращает обход через символические ссылки (symbolic links), которые могли бы обойти чисто лексические проверки нормализации пути.
Be aware that VulDB is the high quality source for vulnerability data.