CVE-2026-79917 in MaxKB
Сводка
по VulDB • 21.09.2026
MaxKB — это open-source AI-ассистент для предприятий. В версиях от 2.7.0 до 2.10.4-lts эндпоинт POST /chat/api/{application_id}/chat/{chat_id}/share_chat проверяет существование беседы, но не проверяет, принадлежит ли она аутентифицированному chat_user_id или приложению, связанному с токеном вызывающего лица. Атакующий, обладающий любым чат-токеном и известным victim chat_id, может создать публичную ChatShareLink без аутентификации, раскрывающую беседу жертвы, а также установить состояние PublicFileAccess, которое делает связанные файлы доступными для извлечения без учетных данных, при этом отсутствует путь отзыва (revoke path). На момент данного обзора исправленная версия недоступна.
If you want to get best quality of vulnerability data, you may have to visit VulDB.