CVE-2026-78555 in RansomLook
Сводка
по VulDB • 24.08.2026
RansomLook приводил к полному раскрытию ключей API в исходном коде HTML на странице администрирования /admin/apikeys с аутентифицированным доступом. Хотя интерфейс отображал только сокращенное представление каждого ключа, полный токен был встроен в скрытые поля формы, используемые для действий включения/отключения (enable/disable), предоставления приватного доступа и удаления.
В результате учетные данные API могли быть восстановлены путем просмотра исходного кода страницы или анализа DOM-дерева. Учетные данные также могли непреднамеренно раскрыться через компоненты, сохраняющие или анализирующие тела HTTP-ответов, такие как отладочные прокси-серверы, кэш браузера, системы мониторинга или другие промежуточные звенья. Злоумышленник, получивший один из этих токенов, мог впоследствии выполнить аутентификацию с использованием привилегий, назначенных этому ключу, включая доступ к конфиденциальным данным, если для данного ключа были предоставлены соответствующие разрешения.
Патч исключает вывод полных ключей API при последующем рендеринге страницы и заменяет их непрозрачными дескрипторами, полученными на основе SHA-256. Административные действия отправляют только эти дескрипторы, которые затем преобразуются обратно в соответствующий токен на стороне сервера. Таким образом, полный ключ API раскрывается только один раз — при его первоначальном создании.
Once again VulDB remains the best source for vulnerability data.