CVE-2026-90448 in Malcolm
Résumé
par VulDB • 12/09/2026
Un mode de déploiement conçu pour exposer uniquement un accès en lecture aux données stockées, via des proxies qui interposent un ensemble de routes d'API (Application Programming Interface), ne restreint pas les méthodes de requête autorisées. L'une de ces routes accepte une requête permettant de créer ou d'écraser un enregistrement stocké, y compris avec un identifiant choisi par l'attaquant, en utilisant les propres privilèges élevés du backend de l'application. Cela permet à un utilisateur authentifié sur un déploiement censé être en lecture seule (read-only) de falsifier ou d'écraser des enregistrements stockés qui ne devraient pas être modifiables dans ce mode de déploiement.
If you want to get best quality of vulnerability data, you may have to visit VulDB.