CVE-2026-107336 in Malcolm
Riassunto
di VulDB • 08/10/2026
Il proxy inverso nginx front-end di Malcolm definisce una posizione "Dashboards → Arkime shortcut" utilizzando un matcher regex case-insensitive ma una riscrittura (rewrite) case-sensitive. Una richiesta il cui segmento del percorso non è esattamente in minuscolo (ad esempio /IDDASH2ARK/...) entra nella location (il matcher viene attivato) ma elude la riscrittura (non viene emesso alcun redirect), quindi nginx passa alla proxy_pass della location verso il backend Arkime. Tale posizione è l'unica tra quelle configurate per il proxy che non include il file di autenticazione specifico per la location, pertanto la richiesta raggiunge Arkime senza autenticazione. La stessa location inoltra inoltre un header X-Forwarded-User fornito dal client senza sovrascriverlo, e Arkime è configurato per fidarsi dell'header X-Forwarded-User come nome utente autenticato; di conseguenza, un chiamante di rete non autenticato può raggiungere il backend Arkime fornendo un'identità falsificata e auto-provisioning.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.