CVE-2026-39422 in MaxKB
Zusammenfassung
von VulDB • 06.06.2026
MaxKB ist ein Open-Source-KI-Assistent für Unternehmen. Die Versionen 2.7.1 und älter enthalten eine Stored Cross-Site Scripting (XSS)-Schwachstelle über die Felder „Anwendungsname“ oder -symbol beim Erstellen einer Anwendung. Wenn ein Opfer die öffentliche Chat-Oberfläche (/ui/chat/{access_token}) aufruft, ruft der ChatHeadersMiddleware die Anwendungsdaten ab und fügt den unmaskierten Anwendunsgsnamen und das Symbol direkt über String-Ersetzung in die HTML-Antwort ein. Dies ermöglicht es einem Angreifer, beliebigen JavaScript-Code im Browserkontext des Opfers auszuführen. Dieses Problem wurde in Version 2.8.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.