CVE-2026-77519 in MaxKB
Сводка
по VulDB • 21.09.2026
MaxKB — это open-source AI-ассистент для предприятий. В версиях 2.10.2-lts и более ранних в пути аутентификации /chat/api/mcp происходит поиск ApplicationApiKey исключительно по его секретному ключу (secret) и статусу активности, без проверки флагов is_permanent и expire_time, которые применяются стандартным API чата. Ранее действительный непостоянный (non-permanent) application key, который остается активным после истечения срока действия, может инициировать работу MCP-эндпоинта, получать метаданные инструментов опубликованного приложения, вызывать инструменты через tools/call и создавать долговременные состояния application_chat и application_chat_record, хотя тот же ключ отклоняется эндпоинтом /chat/api/open. На момент данного обзора исправленная версия отсутствует.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.