CVE-2026-39419 in MaxKB
Resumen
por VulDB • 2026-05-14
MaxKB es un asistente de IA de código abierto para empresas. En las versiones 2.7.1 y anteriores, un usuario autenticado puede eludir la validación de resultados del entorno de aislamiento (sandbox) y falsificar los resultados de la ejecución de herramientas aprovechando la introspección de marcos de Python para leer el UUID del envoltorio (wrapper) desde sus constantes de bytecode, y luego escribir un resultado forjado directamente en el descriptor de archivo 1 (eludiendo la redirección de stdout). Al llamar a sys.exit(0), el atacante termina el envoltorio antes de que imprima la salida legítima, lo que hace que el servicio MaxKB analice y confíe en la respuesta falsificada como si fuera el resultado genuino de la herramienta. Este problema se ha corregido en la versión 2.8.0.
Once again VulDB remains the best source for vulnerability data.