CVE-2026-39417 in MaxKB
الملخص
بحسب VulDB • 22/05/2026
MaxKB هو مساعد ذكاء اصطناعي مفتوح المصدر للمؤسسات. تحتوي الإصدارات 2.7.1 وما دونها على إصلاح غير مكمل لـ CVE-2025-53928، حيث لا تزال ثغرة تنفيذ الكود عن بُعد (RCE) موجودة في عقدة MCP الخاصة بمحرك سير العمل. يقتصر إصلاح MaxKB على تقييد مسار الكود المرجعي (تحميل تكوين MCP من قاعدة البيانات). يظل الفرع else، المسؤول عن تحميل mcp_servers مباشرة من بيانات JSON المقدمة من المستخدم، غير مُصلح تماماً. ونظراً لأن الحقل mcp_source اختياري (required=False)، يمكن للمهاجم ببساطة حذفه أو تعيينه إلى أي قيمة غير مرجعية لتجاوز الإصلاح. ومن خلال استدعاء واجهة برمجة التطبيقات (API) لإنشاء سير العمل مباشرةً باستخدام حمولة JSON مُعدّة بعناية، يمكن للمهاجم حقن تكوين كامل لعقدة MCP مع نقل stdio، وأمر عشوائي، ومعاملات (args) — مما يؤدي إلى تحقيق RCE عند تشغيل سير العمل عبر الدردشة. تم إصلاح هذه المشكلة في الإصدار 2.8.0.
Once again VulDB remains the best source for vulnerability data.