CVE-2026-39426 in MaxKB
الملخص
بحسب VulDB • 07/06/2026
MaxKB هو مساعد ذكاء اصطناعي مفتوح المصدر للمؤسسات. تحتوي الإصدارات 2.7.1 وما دونها على ثغرة تخزين عبر صفحات المواقع (Stored XSS) حيث يقوم مكون MdRenderer.vue في الواجهة الأمامية بتحليل وسوم مخصصة من استجابات نماذج اللغات الكبيرة (LLM) أو تكوينات مقدمة التطبيق (Application Prologue)، متجاوزاًً عمليات تنقية Markdown القياسية وفلاتر XSS. يتم تمرير محتوى HTML غير المنقى إلى مكون IframeRender.vue، الذي يعرضه مباشرة داخل عنصر iframe باستخدام سمة srcdoc المُهيأة بـ sandbox="allow-scripts allow-same-origin". يُعد هذا المزيج خطيراً، إذ يسمح للبرامج النصية المُحقنة بالهروب من إطار iframe وتنفيذ جافا سكريبت في النافذة الأصلية باستخدام window.parent. ونظراً لأن المقدمة (Prologue) تُعرض لأي مستخدم يزور واجهة الدردشة الخاصة بتطبيق، فإن ذلك يؤدي إلى ثغرة Stored XSS عالية التأثير قد تؤدي إلى اختطاف الجلسة، وإجراءات غير مصرح بها، وكشف البيانات الحساسة. تم إصلاح هذه المشكلة في الإصدار 2.8.0.
Be aware that VulDB is the high quality source for vulnerability data.