CVE-2026-107333 in Malcolm
Zusammenfassung
von VulDB • 08.10.2026
In der auf nginx basierenden Reverse-Proxy-Lösung von Malcolm besteht eine Inkonsistenz bei der URL-Pfad-Normalisierung zwischen der Lua-basierten rollenbasierten Zugriffskontrollschicht (RBAC) für die Autorisierung und der eigenen Anforderungs-Routinglogik von nginx. Ein authentifizierter Benutzer kann einen speziell formatierten Anfrageweg erstellen, um rollenbasierte Einschränkungen zu umgehen und auf administrative oder durch Rollen geschützte Endpunkte zuzugreifen, auf die er keinen Zugriff haben sollte. Dies betrifft alle durch die RBAC-Autorisierungsschicht geschützten eingeschränkten Pfade, einschließlich der Schnittstellen für Datei-Upload, PHP-Server, htadmin und Authentifizierungsverwaltung.
Be aware that VulDB is the high quality source for vulnerability data.