CVE-2026-78381

RansomLook, grup gönderileriyle ilişkili screen alanının işlenmesinde bir yol geçişi (path traversal) güvenlik açığı içerir. GroupPost.get API işleyicisi, veritabanı tarafından kontrol edilen screen değerini doğrudan uygulamanın source/ diziniyle birleştirir ve çözümlenen dosyanın amaçlanan dizin içinde kaldığını doğrulamadan ortaya çıkan yolu açar. screen alanı serbest biçimli olduğundan ve yönetici gönderi düzenleyicisi aracılığıyla veya uzak bir RansomLook örneğinden içe aktarılan veriler aracılığıyla doldurulabildiğinden, kötü niyetli bir üst örnek ../config/generic.json gibi geçiş dizileri sağlayabilir. Etkilenen gönderi daha sonra API aracılığıyla alındığında, RansomLook saldırgan tarafından kontrol edilen yolu çözümler ve okur, ardından başvurulan dosyanın içeriğini API yanıtında Base64 ile kodlanmış olarak döndürür. Bu durum, içe aktarılan gönderi verilerini kontrol eden bir saldırganın (yönetici olarak) RansomLook süreci tarafından erişilebilen rastgele dosyaları okumasına olanak tanıyabilir ve hassas yapılandırma verilerini, API kimlik bilgilerini, parola karmalarını veya diğer uygulama sırlarını potansiyel olarak açığa çıkarabilir. Saldırı, kötü niyetli üst örneğin etkilenen RansomLook örneğinde bir hesaba sahip olmasını gerektirmez. Güvenlik açığı, screen yollarının os.path.realpath() ile çözümlenmesi ve çözümlenen yolun uygulamanın source/ dizininin altında kaldığının doğrulanmasıyla giderilir. Doğrulama hem değerler yazılırken hem de dosyalar okunmadan hemen önce gerçekleştirilir. Kurallı yolların kullanılması, yalnızca sözcüksel yol normalleştirme kontrollerini atlatacak sembolik bağlantılar aracılığıyla geçişi de önler.