CVE-2026-107333

Estado: Pendiente de análisisAlta (8.1)—

El proxy inverso basado en nginx de Malcolm contiene una incoherencia en la normalización de rutas URL entre su capa de autorización de control de acceso basado en roles (RBAC) implementada en Lua y la propia lógica de enrutamiento de solicitudes de nginx. Un usuario autenticado puede elaborar una ruta de solicitud con un formato especial para eludir las restricciones basadas en roles y llegar a endpoints administrativos o restringidos por rol a los que no debería tener acceso. Esto afecta a todas las rutas restringidas protegidas por la capa de autorización RBAC, incluidas las interfaces de subida de archivos, servidor PHP, htadmin y gestión de la autenticación.

Traducción automática del texto original de NVD (en inglés).

CVSS

Versión: 3.1
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Puntuación base: 8.1

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días: 0.98%
Percentil entre todas las CVEs puntuadas: 61
Fecha de la puntuación: 13/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1210 Exploitation of Remote Serviceslateral movement75 %
Impacto principalT1078 Valid Accountsstealth · persistence · privilege escalation · initial access85 %
Impacto secundarioT1565 Data Manipulationimpact70 %

Autenticado explota inconsistencia de normalización de rutas en proxy nginx para eludir RBAC y acceder a endpoints restringidos (T1078: uso indebido de cuenta autenticada; T1565: potencial manipulación de datos a través de upload/interfaces de gestión).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account Management Network Segmentation Application Developer Guidance Active Directory Configuration Vulnerability Scanning User Training

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Malcolm — Malcolm^AI

CWE

CWE-863

Referencias

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-107333",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107333",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-08T19:07:56.581539Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "ics-cert@hq.dhs.gov",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 8.1,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.2,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "ics-cert@hq.dhs.gov",
      "affectedData": [
        {
          "vendor": "CISA",
          "product": "Malcolm",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "versionType": "custom",
              "lessThanOrEqual": "26.07.1"
            },
            {
              "status": "unaffected",
              "version": "26.08.0"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-08T18:17:19.603",
  "references": [
    {
      "url": "https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-280-01.json",
      "source": "ics-cert@hq.dhs.gov"
    },
    {
      "url": "https://github.com/cisagov/Malcolm/security/advisories/GHSA-v66f-cwcm-hf73",
      "source": "ics-cert@hq.dhs.gov"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "ics-cert@hq.dhs.gov",
      "description": [
        {
          "lang": "en",
          "value": "CWE-863"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Malcolm's nginx based reverse proxy contains a URL path normalization inconsistency between its Lua based role-based access control (RBAC) authorization layer and nginx's own request routing logic. An authenticated user can craft a specially formatted request path to bypass role-based restrictions and reach administrative or role gated endpoints they should not have access to. This affects all restricted paths protected by the RBAC authorization layer, including file upload, PHP server, htadmin, and authentication management interfaces."
    }
  ],
  "lastModified": "2026-10-08T21:03:43.847",
  "sourceIdentifier": "ics-cert@hq.dhs.gov"
}