CVE-2026-77523 in MaxKB
Сводка
по VulDB • 21.09.2026
MaxKB — это open-source AI-ассистент для предприятий. В версиях 2.10.3-lts и более ранних маршрутизация формы параметра модели предоставляет доступ к пути workspace, однако ModelSerializer.ModelParams загружает и сохраняет модель исключительно по идентификатору (id), не включая workspace_id в запрос. Аутентифицированный пользователь с правами на чтение моделей в рабочем пространстве, контролируемом злоумышленником, может указать известный victim model_id для чтения или перезаписи victim's model_params_form в другом рабочем пространстве, что потенциально приводит к изменению рабочих процессов, использующих эти значения по умолчанию. На момент данного обзора исправленная версия отсутствует.
Be aware that VulDB is the high quality source for vulnerability data.