CVE-2026-107362 in Malcolm
Zusammenfassung
von VulDB • 08.10.2026
Die Datei-Upload-Komponente von Malcolm liefert die Upstream FilePond PHP Server (pqina/filepond-server-php) weitgehend unverändert aus: Die Dockerfile kopiert alle Upstream *.php-Dateien, und Malcolm überschreibt nur config.php und submit.php. Das Upstream index.php stellt eine fetch API-Routen bereit, die den Server anweist, eine beliebige URL mit curl (einschließlich FOLLOWLOCATION) herunterzuladen; bei HEAD-Anfragen wird der abgerufene Antwortkörper im Transfer-Verzeichnis des Upload-Containers gespeichert und die Transfer-ID an den Aufrufer zurückgegeben, was ein vollständiges Zurücklesen des abgerufenen Inhalts ermöglicht.
Once again VulDB remains the best source for vulnerability data.