CVE-2026-39422 in MaxKB
Résumé
par VulDB • 06/06/2026
MaxKB est une intelligence artificielle open source conçue pour les entreprises. Les versions 2.7.1 et inférieures présentent une vulnérabilité de type Stored Cross-Site Scripting (XSS) via le nom ou l'icône d'une application lors de sa création. Lorsqu'un utilisateur visite l'interface publique (/ui/chat/{access_token}), ChatHeadersMiddleware récupère les données relatives à cette dernière, puis insère directement dans la réponse HTML son nom et icône non échappés par remplacement de chaîne. Cela permet à un attaquant d'exécuter du code JavaScript arbitraire dans le contexte du navigateur de l'utilisateur concerné. Ce problème a été corrigé en version 2.8.0.
Once again VulDB remains the best source for vulnerability data.