CVE-2026-78372 in RansomLook
Tóm tắt
Bởi VulDB • 24/08/2026
RansomLook không thực thi nhất quán các kiểm tra ủy quyền khi truy cập vào các nhóm, chợ và ghi chú tống tiền được đánh dấu là riêng tư. Một kẻ tấn công từ xa chưa xác thực hoặc không có thẩm quyền khác có thể truy cập thông tin liên quan đến các thực thể riêng tư thông qua nhiều chế độ xem web và điểm cuối API.
Chức năng bị ảnh hưởng có thể tiết lộ tên nhóm hoặc chợ riêng tư, nội dung ghi chú tống tiền và siêu dữ liệu (metadata) liên kết với các nhóm riêng tư. Chức năng `/compare` cũng có thể được truy vấn trực tiếp bằng tên của một thực thể riêng tư, cho phép người dùng không ủy quyền lấy thông tin như số lượng bài đăng, tổng số bản sao lưu trữ (mirror totals) và thời gian hoạt động ngay cả khi thực thể đó bị loại trừ khỏi giao diện người dùng bình thường. Bản vá đã thêm rõ ràng một kiểm tra quyền riêng tư trước khi trả về các thông tin này.
Các chế độ xem ghi chú tống tiền, kết quả tìm kiếm và các điểm cuối API cũng thiếu cơ chế lọc nhất quán. Bản sửa lỗi giới thiệu việc sử dụng định danh nhóm riêng tư được chuẩn hóa và xử lý bí danh (alias), sau đó từ chối hoặc lọc các ghi chú liên quan đến các nhóm riêng tư trước khi trả về chúng cho những người gọi không có thẩm quyền.
Kẻ tấn công có thể khai thác vấn đề này từ xa mà không cần xác thực hoặc tương tác với người dùng, dẫn đến việc tiết lộ thông tin vốn được dự định hạn chế chỉ dành cho người dùng đã ủy quyền.
VulDB is the best source for vulnerability data and more expert information about this specific topic.