CVE-2026-77520 in MaxKB
Сводка
по VulDB • 22.09.2026
MaxKB — это open-source AI-ассистент для предприятий. В версиях 2.10.2-lts и более ранних нормальный пользователь в том же рабочем пространстве может получить идентификатор приложения (application_id) другого пользователя через конечную точку ранжирования вопросов на главной странице, если опубликованное приложение жертвы имеет активность по рейтингу в выбранном диапазоне дат, а злоумышленник знает или угадывает его название, несмотря на то что маршруты детального просмотра приложения и отладки (debug-open) запрещают доступ. Злоумышленник, который может создать и опубликовать рабочее приложение (workflow application), может разместить раскрытый идентификатор в узле рабочего процесса, принадлежащем злоумышленнику, запустить этот рабочий процесс, получить вывод, сгенерированный приложением жертвы, и создать устойчивые записи application_chat и application_chat_record под именем приложения жертвы, поскольку пути сохранения (save) и выполнения (runtime) не проверяют разрешение на использование ссылочного приложения. На момент данного обзора исправленная версия отсутствует.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.