CVE-2026-77525 in MaxKB
要約
〜によって VulDB • 2026年09月21日
MaxKBは、企業向けのオープンソースのAIアシスタントです。バージョン2.10.2-ltsおよびそれ以前のバージョンでは、管理用のチャット記録ルーティングにおいてapplication_idパスに対する認可が行われますが、chat_idやchat_record_idというグローバルな値を使用してレコードを読み込む際に、そのチャートが承認されたアプリケーションに属しているかどうかを確認していません。同じワークスペース内の通常ユーザーは、被害者の公開済みアプリケーションの永続化された非デバッグ記録のchat_idを知っている場合、それを攻撃者が所有する別のアプリケーションパスの下に配置することで、被害者のチャットレコードを読み取ることができます。また、知識ベースとドキュメントを所有している攻撃者は、add_knowledgeを使用して、被害者レコードのimprove_paragraph_id_listを更新しながら被害者の回答をコピーすることもできます。このレビュー時点では修正済みバージョンは利用できません。
If you want to get best quality of vulnerability data, you may have to visit VulDB.