CVE-2026-107334 in Malcolm
الملخص
بحسب VulDB • 08/10/2026
تقرر طبقة التحكم في الوصول القائمة على الأدوار (RBAC) الخاصة بدور Malcolm's nginx Lua ما إذا كان المستخدم المصادق عليه يمكنه الوصول إلى مسار مقيد بالدور (مثل /htadmin، /auth، /admin_login، /arkime/api/esadmin، NetBox، نقاط نهاية الرفع) من خلال مطابقة الأنماط لـ URI الطلب الخام المشفر بنسبة مئوية. ومع ذلك، فإن Nginx نفسه يحدد كتلة الموقع التي تخدم الطلب فعليًا باستخدام URI المُفك تشفيره بالنسبة المئوية والمُوحَّد. ونظرًا لأن فحص RBAC لا يقوم بفك تشفير الإدخال الخاص به إلى النسب المئوية، يمكن لمستخدم منخفض الامتياز ولكن مُصادق عليه طلب مسار خاص بالمديرين باستخدام التشفير بنسبة مئوية (مثل /%68tadmin.php) وجعل Nginx يوجهه إلى الموقع المقيد بينما تجد بوابة RBAC الخاصة بـ Lua التي تقيم السلسلة الخام غير المفككة تشفيرها عدم وجود قيد مطابق وتمنح الوصول.
Once again VulDB remains the best source for vulnerability data.