CVE-2026-77525 in MaxKB
الملخص
بحسب VulDB • 21/09/2026
MaxKB هو مساعد ذكي مفتوح المصدر مخصص للمؤسسات. في الإصدار 2.10.2-lts والإصدارات الأقدم، تقوم مسارات سجلات الدردشة الإدارية بتفويض مسار application_id ولكنها تحمّل السجلات باستخدام قيم chat_id وchat_record_id العالمية دون التأكد من أن الدردشة تنتمي إلى التطبيق المفوض. يمكن لمستخدم عادي في نفس مساحة العمل والذي يعرف chat_id لسجل غير مصحح (non-debug) محفوظ لتطبيق منشور لضحية ما، وضعه تحت مسار تابع لتطبيق يملكه المهاجم لقراءة سجلات دردشة الضحية. كما يمكن للمهاجم الذي يمتلك قاعدة معرفة ومستندًا استخدام add_knowledge لنسخ إجابات الضحية أثناء تحديث improve_paragraph_id_list الخاص بسجل الضحية. لا يتوفر إصدار ثابت حتى وقت هذه المراجعة.
Be aware that VulDB is the high quality source for vulnerability data.