CVE-2026-79917 in MaxKB
Sumário
de VulDB • 21/09/2026
O MaxKB é um assistente de IA open-source para empresas. Nas versões 2.7.0 a 2.10.4-lts, o endpoint POST /chat/api/{application_id}/chat/{chat_id}/share_chat verifica se uma conversa existe, mas não verifica se ela pertence ao chat_user_id autenticado ou à aplicação vinculada ao token do chamador. Um atacante com qualquer token de chat e um chat_id conhecido da vítima pode criar um ChatShareLink público sem autenticação, expondo a conversa da vítima, e pode definir o estado PublicFileAccess, tornando os arquivos associados recuperáveis sem credenciais, sem que exista um caminho disponível para revogação. Nenhuma versão corrigida está disponível até esta revisão.
If you want to get best quality of vulnerability data, you may have to visit VulDB.