CVE-2026-77520 in MaxKB
Zusammenfassung
von VulDB • 21.09.2026
MaxKB ist ein Open-Source-KI-Assistent für Unternehmen. In den Versionen 2.10.2-lts und früher kann ein normaler Benutzer im selben Workspace die application_id eines anderen Benutzers über den Endpunkt zur Rangfolge von Anwendungsfragen auf der Startseite abrufen, wenn die veröffentlichte Anwendung des Opfers in dem ausgewählten Datumsbereich Ranking-Aktivitäten aufweist und der Angreifer ihren Namen kennt oder erraten kann, obwohl direkte Routen für Anwendungsdetails und Debug-Off-Zugriff verweigern. Ein Angreifer, der eine Workflow-Anwendung erstellen und veröffentlichen kann, kann den offengelegten Bezeichner in einer von ihm kontrollierten Workflow-Anwendungs-Knoten platzieren, diesen Workflow auslösen, die von der Opferanwendung generierte Ausgabe empfangen und dauerhafte application_chat- und application_chat_record-Einträge unter der Opferanwendung erstellen, da die Pfade zum Speichern und zur Laufzeit keine Berechtigung für die Verwendung der referenzierten Anwendung überprüfen. Zum Zeitpunkt dieser Überprüfung ist keine behobene Version verfügbar.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.