CVE-2026-19670

Die nginx-Lua-Schicht für rollenbasierte Zugriffskontrolle (RBAC) von Malcolm entscheidet, ob ein authentifizierter Benutzer einen rollenbeschränkten Pfad erreichen darf (z. B. /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox, Upload-Endpunkte), indem sie den rohen, prozentkodierten Request-URI mit Mustern abgleicht. Nginx selbst wählt jedoch anhand des prozentdekodierten, normalisierten URI aus, welcher Location-Block die Anfrage tatsächlich bedient. Da die RBAC-Prüfung ihre Eingabe niemals prozentdekodiert, kann ein authentifizierter Benutzer mit geringen Rechten einen nur für Administratoren bestimmten Pfad per Prozentkodierung anfordern (z. B. /%68tadmin.php), und nginx leitet ihn an den eingeschränkten Location-Block weiter, während das Lua-RBAC-Gate, das die nicht dekodierte rohe Zeichenfolge auswertet, keine passende Einschränkung findet und Zugriff gewährt.