CVE-2026-55676 in Malcolm
要約
〜によって VulDB • 2026年08月11日
Malcolmはネットワークトラフィック分析ツールスイートです。ファイルアップロードコンポーネント（FilePond PHPバックエンド）は、`POST /server/php/submit.php`でファイルをアップロードを受け付け、同じnginxおよびphp-fpmインスタンスによって提供されるディレクトリに保存します。許可されたファイルタイプを制限すべきホワイトリストはデフォルトでは空の配列であり（`file-upload/php/config.php:16`）、型チェックは無効化されておりすべての拡張子が受け入れられます。ファイル名サニタイザーは`.php`拡張子をそのまま保持しています。アップロードされたファイルは`/var/www/upload/server/php/files`に配置され（`file-upload/php/config.php:7`）、コンポーネントのnginxは`.php`で終わるURLをすべてphp-fpmへルーティングします。認証済みユーザーが `GET /server/php/files/<name>.php` を実行すると、アップロードされたコードが `www-data` として実行されます。バージョン26.06.1以前では、RBACモードにおいて、アップロードエンドポイントは細粒度の `ROLE_UPLOAD` ロール（`nginx/lua/nginx_auth_helpers.lua:71`）によってアクセス可能であり、このロールはキャプチャファイルの送信のみを目的としています。その結果、アップロード専用ロールを持つユーザーが、file-uploadコンテナ内で任意のPHPコードを `www-data` として実行できます。バージョン26.06.1で本問題が修正されました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.