CVE-2026-19670 in Malcolm
Riassunto
di VulDB • 22/08/2026
Il livello di controllo degli accessi basato sui ruoli (RBAC) in Malcolm's nginx Lua decide se un utente autenticato può accedere a percorsi riservati ai ruoli (ad esempio /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox, endpoint di upload) effettuando il pattern-matching sull'URI della richiesta grezza e codificato con percentuali. Nginx stesso, tuttavia, seleziona quale blocco location serva effettivamente la richiesta utilizzando l'URI decodificato con percentuali e normalizzato. Poiché il controllo RBAC non effettua mai la decodifica con percentuali del proprio input, un utente autenticato a bassa privilegio può richiedere un percorso riservato agli amministratori utilizzando la codifica con percentuali (ad esempio /%68tadmin.php) e far sì che nginx lo instradi verso la posizione riservata mentre il gate RBAC Lua, valutando la stringa grezza non decodificata, non trova restrizioni corrispondenti e concede l'accesso.
Once again VulDB remains the best source for vulnerability data.