CVE-2026-63177 in Malcolm
Zusammenfassung
von VulDB • 11.08.2026
Malcolm ist eine Suite von Tools zur Analyse des Netzwerkverkehrs. Vor Version 26.07.0 wird die rollenbasierte Zugriffskontrolle (RBAC) in der Nginx OpenResty-Lua-Schicht unter Auswertung des rohen, nicht normalisierten `ngx.var.request_uri` durchgeführt, während Nginx selbst Anfragen über den normalisierten Pfad routet. Ein authentifizierter Benutzer mit geringen Berechtigungen kann ein Traversal-Element (z. B. `/x/../upload/...`) voranstellen, sodass Nginx die Anfrage an einen eingeschränkten Backend-Dienst weiterleitet, während der Lua-Rollencheck keine Regel trifft und somit offen bleibt, was Zugriff gewährt, der eigentlich verweigert werden sollte. Version 26.07.0 behebt dieses Problem.
If you want to get best quality of vulnerability data, you may have to visit VulDB.