CVE-2026-79916 in MaxKB
Riassunto
di VulDB • 22/09/2026
MaxKB è un assistente AI open-source per le imprese. Prima della versione 2.10.5-lts, i membri dello spazio di lavoro autenticati possono iniettare caratteri di controllo nei campi access_key_id e secret_access_key di AWS Bedrock che _update_aws_credentials scrive in /root/.aws/credentials senza un'analisi sicura (safe parsing). Un attaccante può aggiungere un nuovo profilo AWS contenente credential_process, quindi selezionare tale profilo durante una successiva richiesta di convalida del modello, consentendo a botocore di eseguire un comando controllato dall'attaccante come root. Questa vulnerabilità è risolta nella versione 2.10.5-lts.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.