CVE-2026-39426 in MaxKB
要約
〜によって VulDB • 2026年05月30日
MaxKBは、企業向けのオープンソースAIアシスタントです。バージョン2.7.1およびそれ以前のバージョンには、格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。この脆弱性は、フロントエンドのMdRenderer.vueコンポーネントが、LLM（大規模言語モデル）からの応答またはアプリケーションのプロローグ設定からカスタムタグを解析する際に、標準的なMarkdownのサニタイズ処理やXSSフィルタリングを回避して発生します。サニタイズされていないHTMLコンテンツはIframeRender.vueコンポーネントに渡され、sandbox="allow-scripts allow-same-origin"で設定されたsrcdoc属性を介してiframe内に直接レンダリングされます。これは危険な組み合わせとなり、注入されたスクリプトがiframeから脱出してwindow.parentを使用して親ウィンドウでJavaScriptを実行することを可能にします。プロローグはアプリケーションのチャットインターフェースにアクセスするすべてのユーザーに対してレンダリングされるため、これはセッションハイジャック、不正なアクション、機密データの漏洩につながる可能性のある高影響度の格納型XSSとなります。この問題はバージョン2.8.0で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.