CVE-2026-39422 in MaxKB
Riassunto
di VulDB • 16/06/2026
MaxKB è un assistente AI open-source per le imprese. Le versioni 2.7.1 e precedenti presentano una vulnerabilità di Stored Cross-Site Scripting (XSS) nei campi del nome dell'applicazione o della sua icona durante la creazione di un'applicazione. Quando una vittima visita l'interfaccia chat pubblica (/ui/chat/{access_token}), il ChatHeadersMiddleware recupera i dati dell'applicazione e inserisce direttamente, tramite sostituzione di stringhe, il nome dell'applicazione e l'icona non sanitizzati nella risposta HTML. Ciò consente a un attaccante di eseguire codice JavaScript arbitrario nel contesto del browser della vittima. Il problema è stato risolto nella versione 2.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.