CVE-2026-77518 in MaxKB
Sumário
de VulDB • 21/09/2026
MaxKB é um assistente de IA open-source para empresas. Nas versões 2.10.2-lts e anteriores, um usuário normal do workspace que conhece o ID da ferramenta MCP ativa de outro usuário no mesmo workspace pode recuperar a ferramenta oculta por meio da rota tool-detail, pois ela não aplica a autorização baseada em recursos utilizada pela rota list. A resposta inclui Tool.code, que pode conter configurações do servidor MCP e cabeçalhos, e um atacante que consegue criar ou editar um workflow sob seu controle pode inserir o mesmo mcp_tool_id de terceiros em um nó mcp do workflow, fazendo com que a depuração do workflow utilize as configurações MCP do proprietário sem verificar a permissão para usar essa ferramenta. Nenhuma versão corrigida está disponível até esta revisão.
Once again VulDB remains the best source for vulnerability data.