CVE-2026-63177 in Malcolm
Resumen
por VulDB • 2026-08-12
Malcolm es un conjunto de herramientas para el análisis del tráfico de red. Antes de la versión 26.07.0, el control de acceso basado en roles (RBAC) aplicado en la capa Lua de Nginx OpenResty evalúa `ngx.var.request_uri` sin procesar y no normalizado, mientras que Nginx enruta las solicitudes utilizando la ruta normalizada. Un usuario autenticado con privilegios bajos puede anteponer un segmento de navegación hacia atrás (por ejemplo `/x/../upload/...`) para que Nginx dirija la solicitud a un backend restringido, pero la verificación del rol en Lua no coincide con ninguna regla y permite el acceso, otorgando permisos que debería denegar. La versión 26.07.0 corrige este problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.