CVE-2026-79916 in MaxKB
요약
\~에 의해 VulDB • 2026. 09. 21.
MaxKB는 기업용 오픈소스 AI 어시스턴트입니다. 버전 2.10.5-lts 이전에서는 인증된 워크스페이스 구성원이 _update_aws_credentials가 /root/.aws/credentials에 기록하는 AWS Bedrock의 access_key_id 및 secret_access_key 필드에 제어 문자를 주입할 수 있으며, 이는 안전한 파싱 없이 수행됩니다. 공격자는 credential_process를 포함하는 새로운 AWS 프로필을 추가한 후, 이후 모델 검증 요청 시 해당 프로필을 선택하여 botocore가 루트 권한으로 공격자가 통제하는 명령어를 실행하도록 할 수 있습니다. 이 취약점은 2.10.5-lts에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.