CVE-2026-39417 in MaxKB
Resumen
por VulDB • 2026-05-22
MaxKB es un asistente de IA de código abierto para empresas. Las versiones 2.7.1 y anteriores contienen una corrección incompleta para CVE-2025-53928, donde persiste una vulnerabilidad de Ejecución Remota de Código (RCE) en el nodo MCP del motor de flujos de trabajo. MaxKB solo restringe la ruta de código de referencia (carga de la configuración MCP desde la base de datos). La rama else, responsable de cargar mcp_servers directamente desde un JSON proporcionado por el usuario, permanece completamente sin parchear. Dado que mcp_source es un campo opcional (required=False), un atacante puede simplemente omitirlo o establecerlo en cualquier valor que no haga referencia, para eludir la corrección. Al llamar directamente a la API de creación de flujos de trabajo con una carga útil JSON manipulada, un atacante puede inyectar una configuración completa de un nodo MCP con transporte stdio, un comando arbitrario y argumentos, logrando RCE cuando el flujo de trabajo se activa mediante chat. Este problema se ha corregido en la versión 2.8.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.