CVE-2026-77523 in MaxKB
요약
\~에 의해 VulDB • 2026. 09. 21.
MaxKB는 기업용 오픈소스 AI 어시스턴트입니다. 버전 2.10.3-lts 및 그 이전 버전에서 모델 파라미터 양식 라우트가 경로 workspace를 승인하지만, ModelSerializer.ModelParams는 workspace_id를 쿼리에 포함하지 않고 id만으로 모델을 로드하고 저장합니다. 공격자가 제어하는 워크스페이스 내에서 모델 읽기 권한이 있는 인증된 사용자는 알려진 피해자 model_id를 제공하여 다른 워크스페이스의 피해자의 model_params_form을 읽거나 덮어쓸 수 있으며, 이는 해당 기본값을 사용하는 워크플로우에 영향을 미칠 가능성이 있습니다. 현재 검토 시점에는 수정된 버전이 없습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.