CVE-2026-78555

RansomLook, kimlik doğrulanmış /admin/apikeys yönetim sayfasının HTML kaynağında tam API anahtarlarını ifşa etmiştir. Arayüz her bir anahtarın yalnızca kısaltılmış bir temsilini gösterse de, tam belirteç; etkinleştirme/devre dışı bırakma, özel erişim ve silme işlemleri tarafından kullanılan gizli form alanlarına gömülmüştür. Sonuç olarak, sayfa kaynağı veya DOM incelenerek API kimlik bilgileri geri kazanılabilirdi. Kimlik bilgileri ayrıca hata ayıklama proxyleri, tarayıcı önbellekleri, izleme sistemleri veya diğer aracılar gibi HTTP yanıt gövdelerini tutan veya inceleyen bileşenler aracılığıyla istemeden ifşa edilebilirdi. Bu belirteçlerden birini elde eden bir saldırgan, daha sonra bu anahtara atanmış ayrıcalıkları kullanarak, anahtara izin verildiği durumlarda özel verilere erişim dahil olmak üzere kimlik doğrulaması gerçekleştirebilirdi. Yama, API anahtarlarını sonraki sayfa oluşturma işlemlerinden kaldırır ve bunları SHA-256 tabanlı opak tutamaçlarla değiştirir. Yönetimsel işlemler yalnızca sunucuda ilgili belirtece çözümlenen bu tutamaçları gönderir. Bu nedenle, tam API anahtarı yalnızca ilk oluşturulduğu sırada ifşa edilir.