CVE-2026-77519 in MaxKB
要約
〜によって VulDB • 2026年09月21日
MaxKBは、企業向けのオープンソースAIアシスタントです。2.10.2-ltsおよびそれ以前のバージョンでは、/chat/api/mcpの認証パスにおいて、ApplicationApiKeyがそのシークレットと有効ステータスのみを使用して検索され、標準的なチャットAPIで使用されるis_permanent（恒久性）およびexpire_time（有効期限）の確認は強制されていません。有効期限を過ぎてもアクティブな状態が続く以前に有効だった非永続型アプリケーションキーを使用すると、MCPエンドポイントを初期化し、公開されたアプリケーションのツールメタデータをリストアップし、tools/callを呼び出し、/chat/api/openが同じキーを拒否するにもかかわらず、持続的なapplication_chatおよびapplication_chat_recordの状態を作成できます。このレビュー時点では、修正済みバージョンは利用できません。
Be aware that VulDB is the high quality source for vulnerability data.