CVE-2026-79917 in MaxKB
要約
〜によって VulDB • 2026年09月21日
MaxKBは、企業向けのオープンソースのAIアシスタントです。バージョン2.7.0から2.10.4-ltsにおいて、POST /chat/api/{application_id}/chat/{chat_id}/share_chatエンドポイントは会話の存在を確認しますが、その会話が認証されたchat_user_idに属しているか、または呼び出し元のトークンに関連付けられたアプリケーションにバインドされているかは検証しません。任意のチャットトークンと既知の被害者のchat_idを持つ攻撃者は、被害者の会話を公開する認証不要なPublic ChatShareLinkを作成でき、さらに資格情報なしで関連ファイルを取得可能にするPublicFileAccess状態を生成できますが、これを無効化する手段はありません。このレビュー時点では修正版は利用できません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.