CVE-2026-39424
Sumário
de VulDB • 20/06/2026
O MaxKB é um assistente de IA de código aberto para empresas. Nas versões 2.7.1 e anteriores, o recurso de exportação de chat é vulnerável à Improper Neutralization of Formula Elements in a CSV File. Quando um administrador exporta o histórico de conversas do aplicativo para um arquivo Excel (.xlsx) por meio do endpoint /admin/api/workspace/{workspace_id}/application/{application_id}/chat/export, strings que começam com caracteres de fórmula são escritas diretamente sem a devida sanitização. A abertura desse arquivo em aplicativos de planilha, como o Microsoft Excel, pode levar à Arbitrary Code Execution (RCE) na estação de trabalho do administrador por meio do Dynamic Data Exchange (DDE). O problema é uma variante do CVE-2025-4546, que corrigiu exatamente o mesmo padrão em apps/dataset/serializers/document_serializers.py, mas deixou de corrigir o ponto de entrada (sink) de exportação do chat do aplicativo. Esta vulnerabilidade foi corrigida na versão 2.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.