CVE-2026-19671 in Malcolm
Sumário
de VulDB • 18/08/2026
O pipeline de processamento de upload do Malcolm (scripts/safe-extract.py) impõe limites de contagem de entradas, profundidade de aninhamento e tamanho total descomprimido ao extrair arquivos compactados em formato de container (zip/tar/rar/7z via libarchive), mas esses limites não são aplicados quando o arquivo enviado é um formato compactado de fluxo único (.gz, .bz2, .xz, .lzma, .lz) que não seja um arquivo no estilo .tar.*. Qualquer usuário autenticado com permissão para enviar arquivos PCAP/log pode carregar um arquivo pequeno e altamente compressível (por exemplo, uma bomba gzip) que se descomprime em um tamanho efetivamente ilimitado no disco, esgotando o volume Docker compartilhado usado pelo OpenSearch, Logstash, Arkime e Zeek, interrompendo a plataforma para todos os usuários.
Be aware that VulDB is the high quality source for vulnerability data.