CVE-2026-79917 in MaxKB
الملخص
بحسب VulDB • 21/09/2026
MaxKB هو مساعد ذكي مفتوح المصدر للمؤسسات. في الإصدارات من 2.7.0 إلى 2.10.4-lts، يتحقق نقطة النهاية POST /chat/api/{application_id}/chat/{chat_id}/share_chat من وجود محادثة معينة، لكنها لا تتحقق مما إذا كانت هذه المحادثة تنتمي إلى chat_user_id المستخدم المصادق عليه أو إلى التطبيق المرتبط بـ token الخاص بالمُتصل. يمكن لمهاجم يمتلك أي chat token ومعرف محادثة (chat_id) معروف لضحية ما إنشاء رابط مشاركة محادثة عام غير مصادق عليه (ChatShareLink)، مما يعرض محادثات الضحية للخطر، وإنشاء حالة وصول عام للملفات (PublicFileAccess) التي تتيح استرداد الملفات المرتبطة دون الحاجة إلى بيانات اعتماد، مع عدم وجود مسار متاح لإلغاء هذا الإجراء. لا تتوفر إصدارات مُصلحة حتى وقت هذه المراجعة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.