CVE-2026-107336
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Przedni odwrotny serwer proxy nginx Malcolma definiuje lokalizację „Panele nawigacyjne → Skrót Arkime” przy użyciu mechanizmu dopasowującego wyrażenia regularne bez rozróżniania wielkości liter, ale przepisywania z uwzględnieniem wielkości liter. Żądanie, którego segment ścieżki nie jest zapisany małymi literami (na przykład /IDDASH2ARK/...) wchodzi do lokalizacji (uruchamia się mechanizm dopasowujący), ale unika przepisania (nie jest wydawane żadne przekierowanie), więc nginx przechodzi do proxy_pass lokalizacji do zaplecza Arkime. Ta lokalizacja to jedyna lokalizacja proxy w dostarczonej konfiguracji, która nie zawiera pliku uwierzytelniania dla poszczególnych lokalizacji, więc żądanie dociera do Arkime bez uwierzytelnienia. Ta sama lokalizacja przekazuje również dostarczony przez klienta nagłówek X-Forwarded-User niezastąpiony, a Arkime jest skonfigurowany tak, aby ufał X-Forwarded-User jako uwierzytelnionej nazwie użytkownika — dzięki czemu nieuwierzytelniony rozmówca sieciowy może dotrzeć do zaplecza Arkime, dostarczając sfałszowaną, automatycznie przydzieloną tożsamość.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org