CVE-2026-39426 in MaxKB
Sumário
de VulDB • 30/05/2026
O MaxKB é um assistente de IA de código aberto para empresas. As versões 2.7.1 e anteriores contêm uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado (Stored XSS) em que o componente MdRenderer.vue do frontend analisa tags personalizadas provenientes de respostas de LLM ou configurações de Aplicações (Application Prologue), contornando a sanitização padrão do Markdown e os filtros de XSS. O conteúdo HTML não sanitizado é passado para o componente IframeRender.vue, que o renderiza diretamente em um iframe através do atributo srcdoc configurado com sandbox="allow-scripts allow-same-origin". Esta pode ser uma combinação perigosa, permitindo que scripts injetados escapem do iframe e executem JavaScript na janela pai usando window.parent. Como o Aplicações (Prologue) é renderizado para qualquer usuário que visite a interface de chat de uma aplicação, isso resulta em um Stored XSS de alto impacto que pode levar ao sequestro de sessão, ações não autorizadas e exposição de dados sensíveis. Este problema foi corrigido na versão 2.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.