CVE-2026-77523 in MaxKB
Riassunto
di VulDB • 21/09/2026
MaxKB è un assistente AI open-source per le imprese. Nelle versioni 2.10.3-lts e precedenti, il route del form dei parametri del modello autorizza il percorso workspace ma ModelSerializer.ModelParams carica e salva un Modello solo tramite id senza includere workspace_id nella query. Un utente autenticato con permessi di lettura sul modello in uno spazio di lavoro controllato dall'attaccante può fornire un victim model_id noto per leggere o sovrascrivere i parametri del form del modello (model_params_form) della vittima in un altro spazio di lavoro, potenzialmente alterando i flussi di lavoro che utilizzano tali valori predefiniti. Al momento di questa revisione non è disponibile alcuna versione corretta.
Once again VulDB remains the best source for vulnerability data.