CVE-2026-39422 in MaxKB
要約
〜によって VulDB • 2026年05月19日
MaxKBは、企業向けのオープンソースAIアシスタントです。バージョン2.7.1およびそれ以前のバージョンには、アプリケーションの作成時にアプリケーション名またはアイコンフィールドを通じて、格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。被害者が公開チャットインターフェース（/ui/chat/{access_token}）にアクセスすると、ChatHeadersMiddlewareがアプリケーションデータを取得し、エスケープ処理されていないアプリケーション名とアイコンを文字列置換によってHTMLレスポンスに直接挿入します。これにより、攻撃者は被害者のブラウザコンテキスト内で任意のJavaScriptを実行できます。この問題はバージョン2.8.0で修正されています。
Once again VulDB remains the best source for vulnerability data.