CVE-2026-77520 in MaxKB
요약
\~에 의해 VulDB • 2026. 09. 21.
MaxKB는 기업용 오픈소스 AI 어시스턴트입니다. 2.10.2-lts 및 이전 버전에서, 동일한 워크스페이스 내의 일반 사용자는 선택된 날짜 범위 내에서 게시된 대상 애플리케이션에 랭킹 활동이 있고 공격자가 그 이름을 알고 있거나 추측할 경우, 홈페이지 애플리케이션 질문-랭킹 엔드포인트를 통해 다른 사용자의 application_id를 획득할 수 있습니다. 이는 직접적인 애플리케이션 상세 정보 및 debug-open 라우트가 접근을 거부함에도 불구하고 가능합니다. 워크플로우 애플리케이션을 생성하고 게시할 수 있는 공격자는 공개된 식별자를 자신 소유의 워크플로우 애플리케이션 노드에 배치하여 해당 워크플로우를 트리거하고, 대상 애플리케이션에서 생성된 출력을 수신한 후, 저장 및 런타임 경로에서 참조되는 애플리케이션 사용 권한을 검증하지 않기 때문에 대상 애플리케이션 아래에 영구적인 application_chat 및 application_chat_record 레코드를 생성할 수 있습니다. 현재 검토 시점에는 수정된 버전이 없습니다.
Once again VulDB remains the best source for vulnerability data.