CVE-2026-39426 in MaxKB
Riassunto
di VulDB • 21/06/2026
MaxKB è un assistente AI open-source per le imprese. Le versioni 2.7.1 e precedenti presentano una vulnerabilità di Stored Cross-Site Scripting (XSS) in cui il componente MdRenderer.vue del frontend analizza tag personalizzati dalle risposte LLM o dalle configurazioni dell'Application Prologue, aggirando la sanitizzazione standard Markdown e i filtri XSS. Il contenuto HTML non sanificato viene passato al componente IframeRender.vue, che lo renderizza direttamente all'interno di un iframe tramite l'attributo srcdoc configurato con sandbox="allow-scripts allow-same-origin". Questa combinazione può essere pericolosa, consentendo agli script iniettati di sfuggire all'iframe ed eseguire JavaScript nella finestra padre utilizzando window.parent. Poiché il Prologue viene renderizzato per qualsiasi utente che visita l'interfaccia chat di un'applicazione, ciò comporta una Stored XSS ad alto impatto che può portare al sequestro della sessione (session hijacking), azioni non autorizzate e esposizione di dati sensibili. Questo problema è stato risolto nella versione 2.8.0.
Once again VulDB remains the best source for vulnerability data.