CVE-2026-77522 in MaxKB
要約
〜によって VulDB • 2026年09月21日
MaxKBは、企業向けのオープンソースAIアシスタントです。バージョン2.10.3-ltsおよびそれ以前のバージョンでは、ナレッジベースのWeb文書インポートおよび同期クローラーが、認証済みワークスペースユーザーのURLをFork.forkに渡します。これにより、verify=Falseでリクエストを実行し、スキームやループバック、リンクローカル、プライベート、または予約済みのアドレスへのアクセス制限を行わずにrequests.getが呼び出されます。レスポンスボディはインポートされた文書の内容に変換されるため、権限の低いユーザーがMaxKBサーバーを介してクラウドメタデータや内部HTTPサービスを読み取ることが可能になります。このレビュー時点では、修正済みバージョンはまだ提供されていません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.