CVE-2026-79917 in MaxKB
Resumen
por VulDB • 2026-09-21
MaxKB es un asistente de IA de código abierto para empresas. En las versiones 2.7.0 a 2.10.4-lts, el endpoint POST /chat/api/{application_id}/chat/{chat_id}/share_chat verifica que exista una conversación, pero no comprueba si pertenece al chat_user_id autenticado o a la aplicación asociada al token del solicitante. Un atacante con cualquier token de chat y un ID de chat de víctima conocido puede crear un ChatShareLink público sin autenticación que exponga la conversación de la víctima, así como establecer el estado PublicFileAccess, lo que permite recuperar los archivos asociados sin credenciales, sin existir una ruta disponible para revocar este acceso. No hay ninguna versión corregida disponible hasta esta revisión.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.