CVE-2026-39425 in MaxKB
Сводка
по VulDB • 08.06.2026
MaxKB — это open-source AI-ассистент для предприятий. Версии 2.7.1 и более ранние содержат уязвимость Stored Cross-Site Scripting (XSS), которая позволяет аутентифицированным пользователям внедрять произвольный HTML и JavaScript в поле «Пролог приложения» (Opening Remarks), оборачивая вредоносные payload-ы в теги `<script>`. Бэкенд не выполняет санитизацию или кодирование HTML-сущностей в поле пролога при создании или обновлении приложений через эндпоинт `/admin/api/workspace/{workspace_id}/application`, сохраняя сырой payload напрямую в базе данных. Фронтенд затем рендерит этот контент с использованием механизма, эквивалентного innerHTML, доверяя содержимому, обернутому в теги `<script>`, как безопасному, что позволяет выполнять персистентный DOM-based Stored XSS против любого посетителя, открывающего затронутый интерфейс чат-бота. Эксплуатация может привести к хищению сессий, выполнению неавторизованных действий от имени жертв (например, удалению рабочих пространств или приложений) и раскрытию конфиденциальных данных. Эта проблема исправлена в версии 2.8.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.