CVE-2026-77518 in MaxKB
Сводка
по VulDB • 22.09.2026
MaxKB — это открытая AI-ассистент для предприятий. В версиях 2.10.2-lts и более ранних нормальный пользователь рабочего пространства, знающий активный идентификатор инструмента MCP (tool_id) другого пользователя в том же рабочем пространстве, может получить доступ к скрытому инструменту через маршрут tool-detail, поскольку он не применяет авторизацию на уровне ресурсов, используемую маршрутом list. В ответе содержится Tool.code, который может содержать конфигурацию сервера MCP и заголовки; злоумышленник, способный создавать или редактировать рабочий процесс (workflow), принадлежащий ему, может поместить тот же чужой идентификатор mcp_tool_id в узел workflow mcp-node так, что отладка рабочего процесса будет использовать конфигурацию MCP владельца без проверки разрешений на использование этого инструмента. На момент данного обзора исправленная версия отсутствует.
If you want to get best quality of vulnerability data, you may have to visit VulDB.