Vulnerabilidad en Ransomlook (CVE-2026-78555)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-200
Revelación de información
Fecha de publicación:
24/08/2026
Última modificación:
12/10/2026
Descripción
RansomLook expuso claves API completas en el código fuente HTML de la página de administración autenticada /admin/apikeys. Aunque la interfaz mostraba solo una representación abreviada de cada clave, el token completo estaba incrustado en campos de formulario ocultos utilizados por las acciones de habilitar/deshabilitar, acceso privado y eliminar.<br />
<br />
Como resultado, las credenciales de la API podían recuperarse inspeccionando el código fuente de la página o el DOM. Las credenciales también podían exponerse involuntariamente a través de componentes que retienen o inspeccionan los cuerpos de respuesta HTTP, como proxies de depuración, cachés del navegador, sistemas de monitoreo u otros intermediarios. Un atacante que obtuviera uno de estos tokens podría autenticarse posteriormente utilizando los privilegios asignados a esa clave, incluyendo el acceso a datos privados donde a la clave se le habían otorgado dichos permisos.<br />
<br />
El parche elimina las claves API de la renderización de páginas subsiguientes y las reemplaza con identificadores opacos derivados de SHA-256. Las acciones administrativas envían solo estos identificadores, los cuales se resuelven de nuevo al token correspondiente en el servidor. La clave API completa se divulga, por lo tanto, solo una vez, cuando se crea inicialmente.
Impacto
Puntuación base 4.0
9.40
Gravedad 4.0
CRÍTICA