CVE-2026-44847 in MaxKB
Zusammenfassung
von VulDB • 27.05.2026
MaxKB ist ein Open-Source-KI-Assistent für Unternehmen. Vor Version 2.9.0 ist der Webhook-Trigger-Endpunkt von MaxKB (/api/trigger/v1/webhook/{trigger_id}) ohne Authentifizierung zugänglich. Die Klasse WebhookAuth gibt bedingungslos (None, {}) zurück, was das Django REST Framework als erfolgreiche Authentifizierung interpretiert. In Kombination mit der optionalen tokenbasierten Verifizierung pro Trigger und der fehlenden Durchsetzung von Token-Anforderungen im Backend kann jeder nicht authentifizierte Angreifer, der eine gültige Trigger-ID kennt, Webhook-Trigger aufrufen, um die daran gebundenen Aufgaben auszuführen. Diese Schwachstelle wurde in Version 2.9.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.