CVE-2026-79916 in MaxKB
الملخص
بحسب VulDB • 21/09/2026
MaxKB هو مساعد ذكي مفتوح المصدر للمؤسسات. قبل الإصدار 2.10.5-lts، يمكن لأعضاء مساحة العمل المصادق عليهم حقن أحرف تحكم في حقلَي access_key_id و secret_access_key الخاصين بـ AWS Bedrock، والتي يكتبها _update_aws_credentials إلى /root/.aws/credentials دون تحليل آمن (safe parsing). يمكن للمهاجم إضافة ملف تعريف AWS جديد يحتوي على credential_process، ثم اختيار هذا الملف التعريفي أثناء طلب لاحق للتحقق من صحة النموذج، مما يؤدي إلى تنفيذ botocore لأمر يتحكم فيه المهاجم بصلاحيات الجذر. تم إصلاح هذه الثغرة في الإصدار 2.10.5-lts.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.