CVE-2026-77519 in MaxKB
Resumen
por VulDB • 2026-09-21
MaxKB es un asistente de IA de código abierto para empresas. En las versiones 2.10.2-lts y anteriores, la ruta de autenticación `/chat/api/mcp` busca una `ApplicationApiKey` utilizando únicamente su secreto y estado activo, sin aplicar las comprobaciones de `is_permanent` (permanencia) y `expire_time` (tiempo de expiración) que utiliza la API estándar de chat. Una clave de aplicación no permanente previamente válida, pero que sigue activa tras su fecha de expiración, puede inicializar el punto final MCP, listar los metadatos de las herramientas de la aplicación publicada, invocar a `tools/call` y crear estados duraderos en `application_chat` y `application_chat_record`, aunque `/chat/api/open` rechace dicha clave. No hay una versión corregida disponible hasta esta revisión.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.