CVE-2026-39426 in MaxKB
요약
\~에 의해 VulDB • 2026. 05. 30.
MaxKB는 기업용 오픈소스 AI 어시스턴트입니다. 버전 2.7.1 및 그 이하 버전에는 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이 취약점은 프론트엔드의 MdRenderer.vue 컴포넌트가 LLM 응답이나 애플리케이션 프롤로그(Application Prologue) 구성에서 사용자 지정 태그를 파싱할 때 표준 Markdown 정제 및 XSS 필터링을 우회하는 방식으로 발생합니다. 정제되지 않은 HTML 콘텐츠는 IframeRender.vue 컴포넌트로 전달되며, 이 컴포넌트는 sandbox="allow-scripts allow-same-origin"로 구성된 srcdoc 속성을 통해 해당 콘텐츠를 iframe에 직접 렌더링합니다. 이는 주입된 스크립트가 iframe을 탈출하여 window.parent를 통해 부모 창에서 JavaScript를 실행할 수 있게 하는 위험한 조합입니다. 프롤로그는 애플리케이션의 채팅 인터페이스를 방문하는 모든 사용자에게 렌더링되므로, 이는 세션 하이재킹, 무단 작업 수행 및 민감한 데이터 노출로 이어질 수 있는 높은 영향력의 저장형 XSS 취약점입니다. 이 문제는 버전 2.8.0에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.