CVE-2026-19670

Nome do Software Vulnerável e Versões Afetadas Malcolm (versões afetadas não especificadas)

Descrição A camada de controle de acesso baseado em função (RBAC) do nginx Lua não realiza a decodificação de percentual (percent-decode) da URI da requisição antes de executar a correspondência de padrões para restringir o acesso a caminhos sensíveis. Enquanto o portão RBAC avalia a string bruta codificada, o nginx utiliza a URI normalizada e decodificada para rotear a requisição para o bloco de localização apropriado. Essa discrepância permite que um usuário autenticado com baixos privilégios ignore as restrições de acesso utilizando codificação de percentual na URI da requisição, como solicitar /%68tadmin.php em vez de /htadmin.php, para acessar endpoints restritos como /htadmin, /auth, /admin login, /arkime/api/esadmin, NetBox e endpoints de upload.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.