Malcolm · Malcolm · CVE-2026-55676
**اسم البرنامج المعرض للخطر والإصدارات المتأثرة**
إصدارات Malcolm الأقدم من 26.06.1
**الوصف**
يسمح مكون تحميل الملفات (الخلفية البرمجية لـ FilePond PHP) بتحميل ملفات عشوائية لأن قائمة السماح الافتراضية لأنواع الملفات فارغة، مما يجعل عملية التحقق من النوع غير فعالة. لا يقوم أداة تنقية أسماء الملفات بإزالة الامتداد `.php`، ويتم تخزين الملفات التي تم تحميلها في دليل يتم تقديمه بواسطة نفس مثيل nginx و php-fpm. عند تمكين وضع RBAC، يمكن للمستخدمين الذين لديهم الدور `ROLE UPLOAD` الوصول إلى نقطة النهاية `POST /server/php/submit.php` لتحميل ملفات ضارة. وبالتالي، يؤدي الطلب المصادق عليه الموجه إلى `GET /server/php/files/<name>.php` إلى تنفيذ كود PHP الذي تم تحميله بصفتك المستخدم `www-data` داخل حاوية تحميل الملفات.
**التوصيات**
قم بالتحديث إلى الإصدار 26.06.1.