CVE-2026-55676

Nome do Software Vulnerável e Versões Afetadas Malcolm versões anteriores a 26.06.1

Description O componente de upload de arquivos (backend FilePond PHP) permite o upload de arquivos arbitrários porque a lista de permissões padrão para tipos de arquivos está vazia, tornando a verificação de tipo ineficaz. O sanitizador de nomes de arquivos não remove a extensão .php, e os arquivos carregados são armazenados em um diretório servido pela mesma instância do nginx e php-fpm. Quando o modo RBAC está habilitado, usuários com a função ROLE UPLOAD podem acessar o endpoint POST /server/php/submit.php para carregar arquivos maliciosos. Subsequentemente, uma requisição autenticada para GET /server/php/files/<name>.php executa o código PHP carregado como o usuário www-data dentro do container de upload de arquivos.

Recommendations Atualizar para a versão 26.06.1.