CVE-2026-77519 in MaxKB
요약
\~에 의해 VulDB • 2026. 09. 21.
MaxKB는 기업용 오픈소스 AI 어시스턴트입니다. 2.10.2-lts 및 이전 버전에서, `/chat/api/mcp` 인증 경로는 표준 채팅 API가 사용하는 `is_permanent` 및 `expire_time` 검증을 적용하지 않고 오직 시크릿(secret)과 활성 상태(active status)만으로 ApplicationApiKey를 조회합니다. 만료 후에도 활성화된 상태로 남아 있는 이전에 유효했던 비영구적(application key) 애플리케이션 키는 MCP 엔드포인트를 초기화하고, 게시된 애플리케이션의 도구(tool) 메타데이터를 나열하며, `tools/call`을 호출할 수 있습니다. 또한 `/chat/api/open`이 동일한 키를 거부함에도 불구하고 영구적인 application_chat 및 application_chat_record 상태를 생성합니다. 현재 검토 시점에는 수정된 버전(fixed version)이 제공되지 않습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.