CVE-2026-77516 in MaxKB
要約
〜によって VulDB • 2026年09月21日
MaxKBは、企業向けのオープンソースAIアシスタントです。バージョン2.0.0から2.9.2にかけて、WorkspaceUserResourcePermissionによってツールのアクセスが拒否された最低権限のワークスペースメンバーでも、tool_ids、skill_tool_ids、またはmcp_tool_idsを通じてその識別子をバインドし、エージェントやワークフローのディスパッチパスを介して実行することが可能です。ディスパッチパスでは、専用ツールルートで適用されるツールごとの認可が再適用されず、ツールの実行によりサーバー側のinit_paramsが復号化されるため、呼び出し元は拒否されたツールに付随する資格情報を取得できます。このレビュー時点では、修正済みバージョンはありません。
If you want to get best quality of vulnerability data, you may have to visit VulDB.