CVE-2026-78551

Nome do Software Vulnerável e Versões Afetadas RansomLook (versões afetadas não especificadas)

Description Fraquezas no endpoint de autenticação permitem que um invasor remoto não autenticado enumere nomes de usuário válidos, realize ataques de adivinhação de senha irrestritos e potencialmente cause uma negação de serviço. O processo de login anteriormente verificava a existência de um nome de usuário antes de realizar a verificação do hash da senha, criando uma discrepância de tempo que permite a identificadores de contas válidas. Além disso, o endpoint '/login' carece de restrições quanto à frequência de tentativas malsucedidas, possibilitando ataques de força bruta, dicionário, password-spraying ou credential-stuffing. Como a função de derivação de chave de senha consome tempo significativo de CPU, um alto volume de requisições pode esgotar os workers síncronos do Gunicorn, levando à indisponibilidade de todo o aplicativo.

Recommendations Implementar a verificação de senha usando um hash de senha fictício quando o nome de usuário não existir para eliminar discrepâncias de tempo. Aplicar limitação de taxa (rate-limiting) para tentativas de autenticação malsucedidas por endereço IP do cliente. Configurar o proxy reverso para derivar os endereços dos clientes a partir de um valor X-Forwarded-For confiável que não possa ser substituído pelo cliente.