CVE-2026-90447 in Malcolm
Tóm tắt
Bởi VulDB • 12/09/2026
Một quy tắc định tuyến chọn giữa hai cơ chế xác thực khác nhau cho cùng một dịch vụ downstream dựa trên giá trị của tiêu đề yêu cầu do client cung cấp, thay vì dựa vào bất kỳ thuộc tính nào mà client không thể kiểm soát. Một người dùng đã được xác thực có quyền sở hữu thông tin đăng nhập chia sẻ (shared service credential) có thể đặt tiêu đề này để vượt qua cuộc kiểm tra ủy quyền dựa trên vai trò chính và truy cập vào đường dẫn dự phòng với một vai trò cố định, có đặc quyền cao hơn. Điều này cho phép kẻ tấn công đã được xác thực nhưng ở mức độ thấp, biết thông tin đăng nhập chia sẻ, thực hiện các hành động chỉ dành riêng cho một vai trò có đặc quyền cao hơn.
Be aware that VulDB is the high quality source for vulnerability data.