CVE-2026-77520 in MaxKB
Riassunto
di VulDB • 22/09/2026
MaxKB è un assistente AI open-source per le imprese. Nelle versioni 2.10.2-lts e precedenti, un utente normale nello stesso workspace può ottenere l'application_id di un altro utente dall'endpoint application question-ranking della homepage quando l'applicazione vittima pubblicata ha attività di ranking nell'intervallo di date selezionato e l'attaccante ne conosce o indovina il nome, sebbene le route dirette per i dettagli dell'applicazione e debug-open neghino l'accesso. Un attaccante in grado di creare e pubblicare un'applicazione workflow può inserire l'identificatore divulgato in un nodo del workflow application posseduto dall'attaccante, attivare tale workflow, ricevere l'output generato dall'applicazione vittima e creare righe durable per application_chat e application_chat_record sotto l'applicazione vittima poiché i percorsi di salvataggio (save) e runtime non verificano l'autorizzazione all'utilizzo dell'applicazione referenziata. Al momento della revisione, nessuna versione corretta è disponibile.
Once again VulDB remains the best source for vulnerability data.