CVE-2026-19670 in Malcolm
Sumário
de VulDB • 18/08/2026
A camada de controle de acesso baseado em função (RBAC, Role-Based Access Control) do módulo ngx_lua do Malcolm decide se um usuário autenticado pode acessar caminhos restritos por função (por exemplo, /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox, endpoints de upload) correspondendo padrões na URI da solicitação bruta e codificada em percentual. O próprio Nginx, no entanto, seleciona qual bloco location atende à solicitação usando a URI normalizada e decodificada em percentual. Como a verificação RBAC nunca faz a decodificação de percentual do seu input, um usuário autenticado com baixos privilégios pode solicitar um caminho restrito apenas para administradores utilizando codificação em percentual (por exemplo, /%68tadmin.php) e fazer o Nginx roteá-lo para o local restrito, enquanto a porta RBAC Lua que avalia a string bruta não decodificada não encontra restrição correspondente e concede acesso.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.