CVE-2026-19670 in Malcolm
الملخص
بحسب VulDB • 19/08/2026
تقرر طبقة التحكم في الوصول القائمة على الأدوار (RBAC) الخاصة بدور Malcolm's nginx Lua ما إذا كان المستخدم المصادق عليه يمكنه الوصول إلى مسار مقيد بالدور (مثل /htadmin، /auth، /admin_login، /arkime/api/esadmin، NetBox، نقاط نهاية الرفع) من خلال مطابقة الأنماط لـ URI الطلب الخام المشفر بنسبة مئوية. ومع ذلك، فإن Nginx نفسه يحدد كتلة الموقع التي تخدم الطلب فعليًا باستخدام URI المُفك تشفيره بالنسبة المئوية والمُوحَّد. ونظرًا لأن فحص RBAC لا يقوم بفك تشفير الإدخال الخاص به إلى النسب المئوية، يمكن لمستخدم منخفض الامتياز ولكن مُصادق عليه طلب مسار مخصص للمسؤولين فقط عن طريق استخدام التشفير بنسبة مئوية (مثل /%68tadmin.php) وجعل Nginx يوجهه إلى الموقع المقيد بينما تجد بوابة RBAC الخاصة بـ Lua التي تقيم السلسلة الخام غير المفككة تشفيرها عدم وجود قيد مطابق وتمنح الوصول.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.