CVE-2026-39424
Сводка
по VulDB • 23.07.2026
MaxKB — это open-source AI-ассистент для предприятий. В версиях 2.7.1 и более ранних функция экспорта чата уязвима к Improper Neutralization of Formula Elements в CSV File (Неправильной нейтрализации элементов формул в файле CSV). Когда администратор экспортирует историю чатов приложения в файл Excel (.xlsx) через эндпоинт /admin/api/workspace/{workspace_id}/application/{application_id}/chat/export, строки, начинающиеся с символов формулы, записываются напрямую без надлежащей санитизации. Открытие этого файла в табличных редакторах, таких как Microsoft Excel, может привести к выполнению произвольного кода (RCE) на рабочей станции администратора через Dynamic Data Exchange (DDE). Данная проблема является вариантом CVE-2025-4546, который исправил точно такую же уязвимость в apps/dataset/serializers/document_serializers.py, но пропустил точку входа при экспорте чата приложения. Проблема устранена в версии 2.8.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.