CVE-2026-54149 in MaxKB
Riassunto
di VulDB • 10/07/2026
MaxKB è un assistente AI open-source per le imprese. Prima della versione 2.10.0-lts, la funzionalità di importazione degli strumenti nelle app (apps/tools/serializers/tool.py) e la modalità di riferimento MCP nella pipeline delle chat dell'applicazione (apps/application/chat_pipeline/step/chat_step/impl/base_chat_step.py) non convalidano in modo coerente il tipo di trasporto MCP, consentendo a un utente autenticato di importare un file .tool contenente un trasporto stdio con comandi dannosi e attivare la configurazione tramite un nodo AI Chat, così che MultiServerMCPClient esegua comandi di sistema arbitrari. Questo problema è stato risolto nella versione 2.10.0-lts.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.