CVE-2026-55676 in Malcolm
الملخص
بحسب VulDB • 11/08/2026
Malcolm هو مجموعة أدوات لتحليل حركة مرور الشبكة. يقبل مكون رفع الملفات (الخلفية الخادم FilePond PHP) عمليات الرفع عبر الطلب POST على المسار `/server/php/submit.php` ويخزنها في دليل تخدمه نفس مثيل nginx و php-fpm. قائمة السماح التي ينبغي أن تقيد أنواع الملفات المقبولة تكون مصفوفة فارغة افتراضياً (`file-upload/php/config.php:16`)، وبالتالي فإن فحص النوع لا يقوم بأي عملية (no-op) ويتم قبول كل الامتدادات. يحافظ مُنظِّف اسم الملف على امتداد `.php` كما هو. تصل الملفات المُرفعة إلى المسار `/var/www/upload/server/php/files` (`file-upload/php/config.php:7`)، وتقوم توجيهات nginx للمكون بتوجيه أي عنوان URL ينتهي بـ `.php` إلى php-fpm. يؤدي طلب GET المصادق عليه على المسار `/server/php/files/<name>.php` بعد ذلك إلى تنفيذ الكود المُرفق بصفت المستخدم `www-data`. قبل الإصدار 26.06.1، في وضع التحكم القائم على الأدوار (RBAC)، يمكن الوصول إلى نقطة نهاية الرفع بواسطة الدور الدقيق `ROLE_UPLOAD` (`nginx/lua/nginx_auth_helpers.lua:71`)، وهو دور مُخصص فقط لتقديم ملفات الالتقاط. ونتيجة لذلك، يقوم المستخدم الذي يحمل دور الرفع فقط بتشغيل كود PHP عشوائي بصفت `www-data` داخل حاوية رفع الملفات. يُصلح الإصدار 26.06.1 هذه المشكلة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.