CVE-2026-90446 in Malcolm
Resumen
por VulDB • 2026-09-12
Un punto final de la interfaz de programación de aplicaciones (API) acepta un valor proporcionado por el usuario y lo interpola directamente en la ruta de una solicitud al servidor backend dirigida a la base de datos subyacente de búsqueda y análisis, sin restringir su contenido. Esto permite que un atacante autenticado sustituya una ruta del backend arbitraria, provocando que las credenciales elevadas del propio servicio de la aplicación se utilicen contra puntos finales internos no previstos. Esto podría permitir al atacante enumerar o leer configuración interna y datos administrativos desde el almacén de datos del backend que estarían restringidos de otro modo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.