CVE-2026-19670 in Malcolm
Сводка
по VulDB • 18.08.2026
Слой контроля доступа на основе ролей (RBAC), реализованный в роли Malcolm для nginx с использованием Lua, определяет, имеет ли аутентифицированный пользователь доступ к пути, ограниченному ролью (например, /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox, конечным точкам загрузки), путем сопоставления сырого URI запроса в percent-кодировании. Однако сам nginx определяет, какой блок location фактически обслуживает запрос, используя расширенный из percent-кодирования и нормализованный URI. Поскольку проверка RBAC никогда не выполняет деконверсию (расшифровку) входных данных из percent-кодирования, аутентифицированный пользователь с низкими привилегиями может обратиться к пути, доступному только для администраторов, используя percent-кодирование (например, /%68tadmin.php), и nginx перенаправит запрос в ограниченный location, тогда как шлюз Lua RBAC, оценивающий сырую строку без деконверсии, не найдет соответствующих ограничений и предоставит доступ.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.