CVE-2026-55676 in Malcolm
Сводка
по VulDB • 12.08.2026
Malcolm — это набор инструментов для анализа сетевого трафика. Компонент загрузки файлов (бэкенд FilePond на PHP) принимает файлы по адресу `POST /server/php/submit.php` и сохраняет их в каталоге, обслуживаемом тем же экземпляром nginx и php-fpm. Белый список разрешенных типов файлов по умолчанию представляет собой пустой массив (`file-upload/php/config.php:16`), поэтому проверка типа не выполняется (является no-op) и принимается любое расширение. Санитайзер имени файла сохраняет расширение `.php`. Загруженные файлы попадают в `/var/www/upload/server/php/files` (`file-upload/php/config.php:7`), а маршрутизация nginx компонента направляет любой URL, заканчивающийся на `.php`, к php-fpm. Аутентифицированный запрос `GET /server/php/files/<name>.php` затем выполняет загруженный код от имени пользователя `www-data`. До версии 26.06.1 в режиме RBAC конечная точка загрузки доступна для детализированной роли `ROLE_UPLOAD` (`nginx/lua/nginx_auth_helpers.lua:71`), которая предназначена только для отправки файлов захвата (capture files). В результате пользователь, обладающий ролью только для загрузки, может выполнять произвольный код PHP от имени `www-data` внутри контейнера file-upload. Версия 26.06.1 устраняет эту уязвимость.
Once again VulDB remains the best source for vulnerability data.