CVE-2026-77520 in MaxKB
الملخص
بحسب VulDB • 22/09/2026
MaxKB هو مساعد ذكي مفتوح المصدر مخصص للمؤسسات. في الإصدار 2.10.2-lts والإصدارات الأقدم، يمكن لمستخدم عادي ضمن نفس مساحة العمل الحصول على معرف التطبيق (application_id) الخاص بمستخدم آخر من خلال نقطة نهاية ترتيب الأسئلة للتطبيقات الموجودة في الصفحة الرئيسية، وذلك عندما يكون لتطبيق الضحية نشاط تصنيف ضمن نطاق التاريخ المحدد ويعرف المهاجم أو يظن اسم هذا التطبيق، رغم أن نقاط النهاية المباشرة لعرض تفاصيل التطبيق وللتصحيح المفتوح (debug-open) تمنع الوصول. ويمكن لمهاجم قادر على إنشاء ونشر تطبيق سير عمل وضع المعرف المكشوف في عقدة لتطبيق سير-workflow مملوك للمهاجم، ثم تشغيل ذلك السير-العمل، واستقبال الإخراج الناتج عن تطبيق الضحية، وإنشاء صفوف دائمة لـ application_chat وapplication_chat_record تحت حساب تطبيق الضحية لأن مسارات الحفظ والتشغيل لا تتحقق من صلاحية استخدام التطبيق المشار إليه. ولا يتوفر إصدار ثابت حتى وقت هذه المراجعة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.