CVE-2026-107335

Nome do Software Vulnerável e Versões Afetadas Malcolm (versões afetadas não especificadas)

Description O pipeline de processamento de upload em scripts/safe-extract.py não aplica limites de contagem de entradas, profundidade de aninhamento e total de bytes descompactados ao processar formatos compactados de fluxo único, como .gz, .bz2, .xz, .lzma e .lz, que não sejam arquivos do tipo .tar.*. Isso permite que um usuário autenticado com permissões de upload de arquivos PCAP ou de log envie um arquivo altamente compressível, como uma bomba gzip (um arquivo compactado malicioso projetado para travar um sistema ao expandir para um tamanho enorme), o que pode esgotar o volume Docker compartilhado usado pelo OpenSearch, Logstash, Arkime e Zeek, interrompendo a plataforma para todos os usuários.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.