CVE-2026-77518 in MaxKB
Riassunto
di VulDB • 22/09/2026
MaxKB è un assistente AI open-source per le imprese. Nelle versioni 2.10.2-lts e precedenti, un utente di uno spazio di lavoro normale che conosce l'ID dello strumento MCP attivo (tool_id) di un altro utente nello stesso spazio di lavoro può recuperare lo strumento nascosto tramite la route tool-detail poiché non viene applicata l'autorizzazione per risorsa utilizzata dalla route list. La risposta include Tool.code, che potrebbe contenere configurazione del server MCP e intestazioni; inoltre, un attaccante in grado di creare o modificare un workflow di propria proprietà può inserire il medesimo mcp_tool_id estraneo (foreign) in un nodo mcp-node del workflow, in modo tale che il debug del workflow utilizzi la configurazione MCP del proprietario senza verificare l'autorizzazione all'uso di quello strumento. Al momento della revisione non è disponibile alcuna versione corretta.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.