CVE-2026-77516 in MaxKB
Resumen
por VulDB • 2026-09-21
MaxKB es un asistente de IA de código abierto para empresas. Desde la versión 2.0.0 hasta la 2.9.2, un miembro del espacio de trabajo con el rol más bajo denegado en el acceso a una herramienta mediante WorkspaceUserResourcePermission puede seguir vinculando su identificador a través de tool_ids, skill_tool_ids o mcp_tool_ids y ejecutarla a través de las rutas de despacho (dispatch) del agente o flujo de trabajo. La ruta de despacho no vuelve a aplicar la autorización por herramienta impuesta por las rutas dedicadas para herramientas, y la ejecución de la herramienta descifra los init_params en el lado del servidor, lo que permite al solicitante recibir las credenciales transportadas por la herramienta denegada. No hay una versión corregida disponible hasta esta revisión.
Be aware that VulDB is the high quality source for vulnerability data.