CVE-2026-55676 in Malcolm
Resumen
por VulDB • 2026-08-12
Malcolm es un conjunto de herramientas para el análisis del tráfico de red. El componente de carga de archivos (backend FilePond en PHP) acepta cargas mediante la ruta `POST /server/php/submit.php` y las almacena en un directorio servido por la misma instancia de nginx y php-fpm. La lista blanca que debería restringir los tipos de archivo aceptados es una matriz vacía por defecto (`file-upload/php/config.php:16`), por lo que la comprobación del tipo no tiene efecto (no-op) y se acepta cualquier extensión. El sanizador de nombres de archivos mantiene intacta la extensión `.php`. Los archivos comprometidos caen en `/var/www/upload/server/php/files` (`file-upload/php/config.php:7`), y las rutas nginx del componente redirigen a php-fpm cualquier URL que termine en `.php`. Una `GET /server/php/files/<name>.php` autenticada ejecuta entonces el código cargado como `www-data`. Antes de la versión 26.06.1, en modo RBAC (Control de Acceso Basado en Roles), el punto final de carga es accesible por el rol granular `ROLE_UPLOAD` (`nginx/lua/nginx_auth_helpers.lua:71`), un rol destinado únicamente a enviar archivos capturados. Como resultado, un usuario que posee solo el rol de carga ejecuta código PHP arbitrario como `www-data` dentro del contenedor file-upload. La versión 26.06.1 corrige este problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.