CVE-2026-78553

Nome do Software Vulnerável e Versões Afetadas RansomLook (versões afetadas não especificadas)

Descrição O aplicativo cria sua chave de assinatura de sessão Flask sem restringir explicitamente as permissões de arquivo, resultando frequentemente em permissões como 0644. Isso permite que usuários locais com acesso ao diretório home leiam o arquivo secret key. Este segredo criptográfico é usado para assinar cookies de sessão Flask e para a derivação de chaves de API legadas. Um invasor com esta chave pode gerar cookies de sessão válidos para personificar usuários autenticados, incluindo administradores. Em configurações LDAP, isso é simplificado, pois o carregador de usuário de sessão não verifica se o nome de usuário corresponde a um usuário local existente. A exploração bem-sucedida requer acesso ao sistema de arquivos local e pode levar ao comprometimento total dos controles de autenticação e autorização.

Recomendações Atualize o software para a versão corrigida que cria arquivos de chave secreta com permissões 0600 e restringe as permissões de arquivos de chave existentes durante a inicialização. Restrinja o acesso local ao diretório home do RansomLook para evitar que usuários não autorizados leiam o arquivo secret key.