CVE-2026-19670

Il layer di controllo degli accessi basato sui ruoli (RBAC) Lua di nginx di Malcolm decide se un utente autenticato può raggiungere un path con restrizione di ruolo (ad es. /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox, upload endpoints) tramite pattern-matching del request URI raw, percent-encoded. Nginx stesso, tuttavia, seleziona quale location block serve effettivamente la richiesta utilizzando l'URI normalizzato percent-decoded. Poiché il check RBAC non esegue mai il percent-decode del proprio input, un utente autenticato a basso privilegio può richiedere un path riservato agli amministratori utilizzando il percent-encoding (ad es. /%68tadmin.php) e far sì che nginx lo instradi verso la location ristretta mentre il gate RBAC Lua che valuta la stringa raw non decodificata non trova alcuna restrizione corrispondente e concede l'accesso.