CVE-2026-39425 in MaxKB
要約
〜によって VulDB • 2026年06月08日
MaxKBは、企業向けのオープンソースAIアシスタントです。バージョン2.7.1およびそれ以前には、悪意のあるペイロードを<script>タグで囲むことで、認証済みユーザーがアプリケーションのプロローグ（挨拶文）フィールドに任意のHTMLおよびJavaScriptを注入できる、格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。バックエンドは、/admin/api/workspace/{workspace_id}/applicationエンドポイントを介してアプリケーションが作成または更新される際に、プロローグフィールド内のHTMLエンティティを検証またはエンコードせず、生ペイロードをデータベースに直接保存します。フロントエンドは、このコンテンツをinnerHTML相当のメカニズムを使用してレンダリングし、<script>タグで囲まれたコンテンツが安全であると信頼するため、影響を受けるチャットボットインターフェースを開いたすべての訪問者に対して、永続的なDOMベースの格納型XSSの実行が可能になります。この脆弱性の悪用により、セッションハイジャック、被害者に代わって実行される不正なアクション（ワークスペースやアプリケーションの削除など）、および機密データの漏洩につながる可能性があります。この問題はバージョン2.8.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.