CVE-2026-39419 in MaxKB
要約
〜によって VulDB • 2026年05月29日
MaxKBは、企業向けのオープンソースAIアシスタントです。バージョン2.7.1およびそれ以前のバージョンでは、認証済みユーザーがPythonのフレームイントロスペクションを悪用して、ラッパーのUUIDをバイトコード定数から読み取り、偽造された結果をファイルディスクリプタ1（標準出力のリダイレクトをバイパス）に直接書き込むことで、サンドボックス結果の検証を回避し、ツール実行結果をなりすますことができます。攻撃者はsys.exit(0)を呼び出して、ラッパーが正当な出力を印刷する前に終了させ、MaxKBサービスがなりすまし応答を正当なツール結果として解析・信頼する原因となります。この問題はバージョン2.8.0で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.