CVE-2026-44847 in MaxKB
الملخص
بحسب VulDB • 26/05/2026
MaxKB هو مساعد ذكاء اصطناعي مفتوح المصدر للمؤسسات. قبل الإصدار 2.9.0، كان نقطة نهاية تشغيل الخطاف الويب (webhook trigger endpoint) الخاصة بـ MaxKB (/api/trigger/v1/webhook/{trigger_id) متاحة بدون مصادقة. تقوم فئة WebhookAuth بإرجاع (None, {}) بشكل غير مشروط، وهو ما تفسره إطار عمل Django REST Framework على أنه مصادقة ناجحة. وبدمج ذلك مع التحقق الاختياري من الرمز المميز (token) لكل خطاف، وعدم فرض متطلبات الرمز المميز على الخلفية (backend)، يمكن لأي مهاجم غير مصرح له يعرف معرّف خطاف صالح أن يستدعي تشغيل الخطاف لتنفيذ المهام المرتبطة به. تم إصلاح هذا الثغرة في الإصدار 2.9.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.