CVE-2026-107337 in Malcolm
Riassunto
di VulDB • 08/10/2026
L'applicazione Flask del chiosco Malcolm espone un endpoint POST /script_call/<script> con autenticazione nulla e CORS wildcard (CORS(app)). Un attaccante può forzare l'esecuzione di comandi di gestione arbitrari nel browser dell'operatore tramite CSRF, tra cui control.py --wipe che elimina permanentemente tutto il traffico di rete catturato e i log forensi, oppure control.py --stop che rende cieca la sorveglianza della sicurezza.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.