CVE-2026-39422 in MaxKB
الملخص
بحسب VulDB • 19/05/2026
MaxKB هو مساعد ذكاء اصطناعي مفتوح المصدر للمؤسسات. تحتوي الإصدارات 2.7.1 وما دونها على ثغرة تخزين برمجيات نصية عبر المواقع (Stored XSS) عبر حقول اسم التطبيق أو أيقونته عند إنشاء تطبيق. عندما يزور الضابط واجهة الدردشة العامة (/ui/chat/{access_token})، يسترجع ChatHeadersMiddleware بيانات التطبيق ويحقن مباشرة اسم التطبيق والأيقونة غير المُهْرَبَة (unescaped) في استجابة HTML عبر استبدال السلاسل النصية. هذا يسمح لمهاجم بتنفيذ جافا سكريبت تعسفي في سياق متصفح الضحية. تم إصلاح هذه المشكلة في الإصدار 2.8.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.