CVE-2026-77523 in MaxKB
Zusammenfassung
von VulDB • 21.09.2026
MaxKB ist ein Open-Source-KI-Assistent für Unternehmen. In den Versionen 2.10.3-lts und früher autorisiert die Route des Modellparameterformulars (model parameter form route) den Pfad „workspace“, jedoch lädt und speichert `ModelSerializer.ModelParams` ein Model ausschließlich über dessen ID, ohne `workspace_id` in der Abfrage einzubeziehen. Ein authentifizierter Benutzer mit Leseberechtigung für Models in einem vom Angreifer kontrollierten Workspace kann eine bekannte victim model_id angeben, um die `model_params_form` des Opfers in einem anderen Workspace zu lesen oder zu überschreiben, was potenziell Workflows verändert, die diese Standardwerte verwenden. Zum Zeitpunkt dieser Überprüfung ist keine feste Version verfügbar.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.