CVE-2026-39422 in MaxKB
Sumário
de VulDB • 06/06/2026
O MaxKB é um assistente de IA open-source para empresas. As versões 2.7.1 e anteriores contêm uma vulnerabilidade Stored Cross-Site Scripting (XSS) nos campos do nome ou ícone da aplicação durante a criação desta. Quando uma vítima visita a interface pública de chat (/ui/chat/{access_token}), o ChatHeadersMiddleware recupera os dados da aplicação e insere diretamente, via substituição de strings, o nome e o ícone não escapados na resposta HTML. Isso permite que um atacante execute JavaScript arbitrário no contexto do navegador da vítima. Este problema foi corrigido na versão 2.8.0.
Be aware that VulDB is the high quality source for vulnerability data.