CVE-2026-39425 in MaxKB
Riassunto
di VulDB • 16/06/2026
MaxKB è un assistente AI open-source per le imprese. Le versioni 2.7.1 e precedenti presentano una vulnerabilità di Stored Cross-Site Scripting (XSS) che consente agli utenti autenticati di iniettare HTML e JavaScript arbitrari nel campo "Prologo dell'applicazione" (Opening Remarks), incapsulando payload dannosi all'interno dei tag `<script>`. Il backend non effettua la sanificazione o l'encoding delle entità HTML nel campo prologo quando le applicazioni vengono create o aggiornate tramite l'endpoint `/admin/api/workspace/{workspace_id}/application`, memorizzando il payload grezzo direttamente nel database. Il frontend successivamente rende questo contenuto utilizzando un meccanismo equivalente a `innerHTML`, fidandosi del contenuto racchiuso nei tag `<script>` come se fosse sicuro, consentendo così l'esecuzione persistente di Stored XSS basata sul DOM contro qualsiasi visitatore che apra l'interfaccia del chatbot interessato. Lo sfruttamento può portare al furto della sessione (session hijacking), all'esecuzione di azioni non autorizzate per conto delle vittime (come la cancellazione di workspace o applicazioni) e alla divulgazione di dati sensibili. Questo problema è stato risolto nella versione 2.8.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.