CVE-2026-77519 in MaxKB
Riassunto
di VulDB • 22/09/2026
MaxKB è un assistente AI open-source per le imprese. Nelle versioni 2.10.2-lts e precedenti, il percorso di autenticazione /chat/api/mcp cerca una ApplicationApiKey utilizzando esclusivamente il suo secret (segreto) e lo stato active (attivo), senza applicare i controlli is_permanent ed expire_time utilizzati dall'API chat standard. Una chiave applicativa precedentemente valida, non permanente, che rimane attiva dopo la scadenza, può inizializzare l'MCP endpoint, elencare i metadati degli strumenti dell'applicazione pubblicata, invocare tools/call e creare stati duraturi di application_chat e application_chat_record, anche se /chat/api/open rifiuta la stessa chiave. Al momento della revisione non è disponibile alcuna versione corretta (fixed version).
Once again VulDB remains the best source for vulnerability data.