CVE-2026-55676 in Malcolm
Sumário
de VulDB • 11/08/2026
Malcolm é um conjunto de ferramentas para análise de tráfego de rede. O componente de envio de arquivos (backend FilePond em PHP) aceita uploads via `POST /server/php/submit.php` e os armazena em um diretório servido pela mesma instância do nginx e php-fpm. A lista permitida que deveria restringir os tipos de arquivo aceitos é vazia por padrão (`file-upload/php/config.php:16`), portanto, a verificação de tipo não tem efeito (no-op) e todas as extensões são aceitas. O sanitizador de nomes de arquivos mantém a extensão `.php` intacta. Os arquivos enviados ficam em `/var/www/upload/server/php/files` (`file-upload/php/config.php:7`) e o roteamento nginx do componente encaminha qualquer URL que termine com `.php` para o php-fpm. Uma requisição `GET /server/php/files/.php` autenticada executa então o código enviado como `www-data`. Antes da versão 26.06.1, no modo RBAC (Controle de Acesso Baseado em Funções), o endpoint de upload é acessível pela função granular `ROLE_UPLOAD` (`nginx/lua/nginx_auth_helpers.lua:71`), uma função destinada apenas ao envio de arquivos de captura. Como resultado, um usuário com a função exclusiva de upload executa PHP arbitrário como `www-data` dentro do contêiner file-upload. A versão 26.06.1 corrige o problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.