CVE-2026-78378

Ransomlook proqramında istifadəçi tərəfindən idarə olunan girişlərin Redis SCAN MATCH şablonlarına daxil edilməzdən əvvəl kifayət qədər neytrallaşdırılmaması səbəbindən Redis glob pattern injection zəifliyi mövcuddur. /api/health/<name> son nöqtəsi təmin edilən adı məlum qrup və ya bazarla əlaqələndirməyə çalışır, lakin bu proses uğursuz olduqda hücumkeş tərəfindən idarə olunan dəyəri birbaşa Redis açar şablonunda istifadə edir. Buna görə də autentifikasiya olunmamış hücumkeş SCAN əməliyyatını nəzərdə tutulan qrupun hüdudlarından kənara çıxarmaq üçün *, ?, [ və ya ] kimi Redis glob meta simvollarından istifadə edə bilər. Məsələn, /api/health/* sorğusu bütün qruplara və bazarlara aid sağlamlıq məlumatlarını, güzgü slug-larını və iş vaxtı seriyalarını, o cümlədən gizli kimi qeyd edilmiş obyektləri sadalaya bilər. Buna bənzər təhlükəli interpolasiya /api/crypto/chain/<chain> ünvanında və delete_manual_torrent() funksiyasında da mövcud idi. Sonuncu hal potensial olaraq dağıdıcı təsirə malikdir, çünki hücumkeş tərəfindən idarə olunan giriş həmin funksiyaya çata bildiyi təqdirdə, glob meta simvolları ehtiva edən xüsusi hazırlanmış infohash digər torrentlərə aid torrent-health açarlarının tapılmasına səbəb ola bilər. Yamaq (patch) sağlamlıq son nöqtəsindən təhlükəli geri dönüşü (fallback) silir və istifadəçi tərəfindən idarə olunan dəyərlərin Redis SCAN MATCH ifadələrinə daxil edilməzdən əvvəl glob escape əməliyyatının tətbiqini təmin edir.