CVE-2026-19670
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Malcolm's nginx Lua warstwa kontroli dostępu oparta na rolach (RBAC) decyduje o dostępie do ścieżek ograniczonych rolą, dopasowując wzorce do surowego, percent-encoded URI. Nginx jednak wybiera blok location na podstawie zdekodowanego, znormalizowanego URI. Ponieważ kontrola RBAC nie dekoduje percent-encoding, uwierzytelniony użytkownik z niskimi uprawnieniami może uzyskać dostęp do ścieżek administracyjnych, używając percent-encoded URI, omijając ograniczenia.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do funkcji administracyjnych, takich jak /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox i endpointów przesyłania plików, co może prowadzić do naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Malcolm do wersji zawierającej poprawkę, która dekoduje URI przed sprawdzeniem RBAC.
Oryginalny opis (angielski, źródło NVD)
Malcolm's nginx Lua role-based access control (RBAC) layer decides whether an authenticated user may reach a role-restricted path (e.g. /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox, upload endpoints) by pattern-matching the raw, percent-encoded request URI. Nginx itself, however, selects which location block actually serves the request using the percent-decoded, normalized URI. Because the RBAC check never percent-decodes its input, an authenticated low-privilege user can request an admin-only path using percent-encoding (e.g. /%68tadmin.php) and have nginx route it to the restricted location while the Lua RBAC gate evaluating the un-decoded raw string finds no matching restriction and grants access.