CVE-2026-77518 in MaxKB
要約
〜によって VulDB • 2026年09月21日
MaxKBは、企業向けのオープンソースAIアシスタントです。2.10.2-ltsおよびそれ以前のバージョンでは、同じワークスペース内の他のユーザーのアクティブなMCPツールID（tool_id）を知っている通常のワークスペースユーザーが、リストルートで適用されているリソースごとの認可を適用していないため、ツール詳細ルートを通じて非表示のツールを取得できます。レスポンスにはTool.codeが含まれており、これにはMCPサーバーの設定やヘッダーが含まれる可能性があります。また、攻撃者が攻撃者所有のワークフローを作成または編集できる場合、同じ外部mcp_tool_idをワークフロー内のmcp-nodeに配置することで、ワークフローのデバッグ時にツールの使用権限を確認せずに所有者のMCP設定が使用されます。このレビュー時点では修正版は利用できません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.