CVE-2026-39426 in MaxKB
Resumen
por VulDB • 2026-05-30
MaxKB es un asistente de IA de código abierto para empresas. Las versiones 2.7.1 y anteriores contienen una vulnerabilidad de Cross-Site Scripting (XSS) almacenado (Stored XSS) en la que el componente MdRenderer.vue del frontend analiza etiquetas personalizadas procedentes de las respuestas del LLM o de las configuraciones del Prólogo de la Aplicación, eludiendo la sanitización estándar de Markdown y los filtros de XSS. El contenido HTML no sanitizado se pasa al componente IframeRender.vue, que lo representa directamente en un iframe mediante el atributo srcdoc configurado con sandbox="allow-scripts allow-same-origin". Esta combinación puede ser peligrosa, ya que permite que los scripts inyectados escapen del iframe y ejecuten JavaScript en la ventana principal utilizando window.parent. Dado que el Prólogo se representa para cualquier usuario que visite la interfaz de chat de una aplicación, esto da lugar a un Stored XSS de alto impacto que puede provocar el secuestro de sesiones, acciones no autorizadas y la exposición de datos sensibles. Este problema se ha corregido en la versión 2.8.0.
Once again VulDB remains the best source for vulnerability data.