CVE-2026-77518 in MaxKB
요약
\~에 의해 VulDB • 2026. 09. 21.
MaxKB는 기업용 오픈소스 AI 어시스턴트입니다. 2.10.2-lts 및 이전 버전에서, 동일한 워크스페이스 내 다른 사용자의 활성 MCP tool_id를 알고 있는 일반 워크스페이스 사용자는 목록(route)이 적용하는 리소스별 권한 검증을 도구 상세(route)에 적용하지 않아 숨겨진 도구를 검색할 수 있습니다. 응답에는 Tool.code가 포함되며, 여기에는 MCP 서버 구성 및 헤더가 포함되어 있을 수 있으며, 공격자가 자신 소유의 워크플로우를 생성하거나 편집할 경우 동일한 타사 mcp_tool_id를 워크플로우의 mcp-node에 배치하여 권한 검증을 거치지 않고 소유자의 MCP 구성을 사용하여 워크플로우 디버깅이 수행되도록 할 수 있습니다. 현재 검토 시점에는 수정된 버전이 없습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.