What is CVE-2026-19671?
CVE-2026-19671 describes a flaw in Malcolm's file upload pipeline: the `scripts/safe-extract.py` script enforces extraction limits for container archives (zip, tar, rar, 7z) but fails to apply them to single-stream compressed files like .gz, potentially allowing resource exhaustion (DoS) attacks via crafted file uploads. Users should restrict .gz file uploads until a patch is available.
Azərbaycanca: CVE-2026-19671 Malcolm sisteminin fayl yükləmə boru xəttindəki qüsuru əhatə edir: `scripts/safe-extract.py` skripti konteyner arxivlər (zip, tar, rar, 7z) üçün limitlər tətbiq etsə də, tək axınlı sıxılmış fayllar (.gz) üçün bu limitlər yoxlanılmır. Bu, zərərli fayl yükləməklə resurs tükənməsi (DoS) hücumlarına səbəb ola bilər. İstifadəçilər yamaq təmin olunana qədər .gz fayllarının yüklənməsini məhdudlaşdırmalıdırlar.
Related CVEs
link basis: same weakness class CWE-400
FAQ2
Which component of Malcolm is affected by CVE-2026-19671?
The vulnerability is in the `scripts/safe-extract.py` script within Malcolm's file upload pipeline.
What is the potential impact of exploiting CVE-2026-19671?
It could lead to resource exhaustion (DoS) attacks by uploading crafted .gz files.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.