CVE-2026-39425 in MaxKB
Sumário
de VulDB • 29/05/2026
O MaxKB é um assistente de IA de código aberto para empresas. As versões 2.7.1 e anteriores contêm uma vulnerabilidade de Stored Cross-Site Scripting (XSS) que permite que usuários autenticados injetem HTML e JavaScript arbitrários no campo "Prologue" (Abertura) da aplicação, encapsulando payloads maliciosos em tags `<script>`. O backend falha ao sanitizar ou codificar entidades HTML no campo prologue quando as aplicações são criadas ou atualizadas por meio do endpoint `/admin/api/workspace/{workspace_id}/application`, armazenando o payload bruto diretamente no banco de dados. O frontend então renderiza esse conteúdo usando um mecanismo equivalente ao innerHTML, confiando que o conteúdo envolvido em tags `<script>` seja seguro, o que permite a execução persistente de Stored XSS baseado no DOM contra qualquer visitante que abra a interface do chatbot afetada. A exploração pode levar ao sequestro de sessão, execução de ações não autorizadas em nome das vítimas (como exclusão de espaços de trabalho ou aplicações) e exposição de dados sensíveis. Este problema foi corrigido na versão 2.8.0.
Be aware that VulDB is the high quality source for vulnerability data.