CVE-2026-19670

La capa Lua de nginx de control de acceso basado en roles (RBAC) de Malcolm decide si un usuario autenticado puede alcanzar una ruta restringida por rol (p. ej. /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox, upload endpoints) mediante la coincidencia de patrones del URI de solicitud en bruto, codificado en porcentaje. Nginx, sin embargo, selecciona qué bloque location sirve realmente la solicitud utilizando el URI normalizado, decodificado en porcentaje. Dado que la comprobación RBAC nunca decodifica en porcentaje su entrada, un usuario autenticado con privilegios bajos puede solicitar una ruta solo para administradores utilizando codificación porcentual (p. ej. /%68tadmin.php) y hacer que nginx lo dirija a la ubicación restringida mientras la puerta RBAC de Lua que evalúa la cadena en bruto sin decodificar no encuentra ninguna restricción coincidente y concede el acceso.