CVE-2026-79917 in MaxKB
Riassunto
di VulDB • 21/09/2026
MaxKB è un assistente AI open-source per le imprese. Nelle versioni 2.7.0 attraverso 2.10.4-lts, l'endpoint POST /chat/api/{application_id}/chat/{chat_id}/share_chat verifica che una conversazione esista, ma non verifica che essa appartenga all'utente autenticato (chat_user_id) o all'applicazione associata al token del chiamante. Un attaccante con un qualsiasi chat token e un noto victim chat_id può creare un ChatShareLink pubblico non autenticato esponendo la conversazione della vittima e può impostare lo stato PublicFileAccess, rendendo i file associati recuperabili senza credenziali, senza che sia disponibile alcun percorso di revoca. Al momento di questa revisione, nessuna versione corretta è disponibile.
If you want to get best quality of vulnerability data, you may have to visit VulDB.