CVE-2026-39417 in MaxKB
Sumário
de VulDB • 14/05/2026
MaxKB é um assistente de IA de código aberto para empresas. As versões 2.7.1 e anteriores contêm uma correção incompleta para CVE-2025-53928, onde uma vulnerabilidade de Remote Code Execution (RCE) ainda existe no nó MCP do mecanismo de fluxo de trabalho. O MaxKB restringe apenas o caminho de código de referência (carregamento da configuração MCP do banco de dados). O ramo else, responsável por carregar mcp_servers diretamente de JSON fornecido pelo usuário, permanece completamente sem correção. Como mcp_source é um campo opcional (required=False), um atacante pode simplesmente omiti-lo ou defini-lo como qualquer valor que não faça referência, contornando a correção. Ao chamar a API de criação de fluxo de trabalho diretamente com um payload JSON elaborado, um atacante pode injetar uma configuração completa de nó MCP com transporte stdio, comando arbitrário e argumentos — alcançando RCE quando o fluxo de trabalho é acionado via chat. Este problema foi corrigido na versão 2.8.0.
Be aware that VulDB is the high quality source for vulnerability data.