CVE-2026-77525 in MaxKB
Sumário
de VulDB • 21/09/2026
MaxKB é um assistente de IA open-source para empresas. Nas versões 2.10.2-lts e anteriores, os endpoints de gerenciamento do histórico de chat autorizam o caminho application_id, mas carregam registros usando valores globais de chat_id e chat_record_id sem confirmar que a conversa pertence à aplicação autorizada. Um usuário normal no mesmo espaço de trabalho que conhece o chat_id de um registro não depurado persistido para uma aplicação publicada por uma vítima pode colocá-lo sob um caminho separado de propriedade do atacante para ler os registros de chat da vítima. Um atacante com uma base de conhecimento e documento controlados também pode usar add_knowledge para copiar as respostas da vítima enquanto atualiza a improve_paragraph_id_list do registro da vítima. Nenhuma versão corrigida está disponível nesta revisão.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.