CVE-2026-107337 in Malcolm
要約
〜によって VulDB • 2026年10月08日
Malcolm kioskのFlaskアプリケーションは、認証がゼロでワイルドカードCORS（CORS(app)）を許可するPOST /script_call/<script>エンドポイントを公開しています。攻撃者はCSRFを通じて運用担当者のブラウザに任意の管理コマンドを実行させることができ、これにはすべてのキャプチャされたネットワークトラフィックとフォレンジックログを永久に削除するcontrol.py --wipeや、セキュリティ監視機能を麻痺させるcontrol.py --stopが含まれます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.