CVE-2026-39424
요약
\~에 의해 VulDB • 2026. 06. 16.
MaxKB는 기업용 오픈소스 AI 어시스턴트입니다. 버전 2.7.1 이하에서 채팅 내보내기 기능은 CSV 파일 내 수식 요소의 부적절한 중화(Improper Neutralization of Formula Elements in a CSV File) 취약점에 노출되어 있습니다. 관리자가 /admin/api/workspace/{workspace_id}/application/{application_id}/chat/export 엔드포인트를 통해 애플리케이션 채팅 기록을 Excel 파일(.xlsx)로 내보낼 때, 수식 문자로 시작하는 문자열이 적절한 검사 없이 직접 작성됩니다. Microsoft Excel과 같은 스프레드시트 애플리케이션에서 이 파일을 열면 동적 데이터 교환(DDE)을 통해 관리자 워크스테이션에서 임의 코드 실행(RCE)이 발생할 수 있습니다. 이 문제는 apps/dataset/serializers/document_serializers.py에서 동일한 패턴을 수정했으나 애플리케이션 채팅 내보내기 싱크는 누락한 CVE-2025-4546의 변형입니다. 이 문제는 버전 2.8.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.