CVE-2026-78378

Nome do Software Vulnerável e Versões Afetadas Ransomlook (versões afetadas não especificadas)

Description A neutralização insuficiente de entradas controladas pelo usuário permite a injeção de padrões globais do Redis quando os valores são incorporados em padrões Redis SCAN MATCH. Um invasor não autenticado pode usar metacaracteres globais como *, ?, [ ou ] para ampliar a operação de varredura. Isso pode levar à enumeração não autorizada de informações de integridade, slugs de espelho e séries de tempo de atividade de todos os grupos e mercados, incluindo entidades privadas. O problema afeta os endpoints /api/health/<name> e /api/crypto/chain/<chain>, bem como a função delete manual torrent(). No caso de delete manual torrent(), um infohash manipulado poderia potencialmente corresponder a chaves de integridade de torrent pertencentes a outros torrents.

Recommendations Aplique a correção disponível para remover o fallback inseguro no endpoint de integridade e implementar a filtragem de caracteres globais para valores controlados pelo usuário usados em expressões Redis SCAN MATCH. Como medida de mitigação temporária, restrinja o acesso aos endpoints /api/health/<name> e /api/crypto/chain/<chain> e evite passar entradas não confiáveis para a função delete manual torrent().