CVE-2026-39422 in MaxKB
Tóm tắt
Bởi VulDB • 06/06/2026
MaxKB là một trợ lý AI mã nguồn mở dành cho doanh nghiệp. Các phiên bản từ 2.7.1 trở xuống chứa lỗ hổng Cross-Site Scripting (XSS) lưu trữ (Stored XSS) thông qua các trường tên ứng dụng hoặc biểu tượng khi tạo ứng dụng. Khi người dùng mục tiêu truy cập giao diện trò chuyện công khai (/ui/chat/{access_token}), ChatHeadersMiddleware sẽ lấy dữ liệu ứng dụng và trực tiếp chèn tên ứng dụng cùng biểu tượng chưa được thoát ký tự vào phản hồi HTML thông qua thay thế chuỗi. Điều này cho phép kẻ tấn công thực thi mã JavaScript tùy ý trong ngữ cảnh trình duyệt của người dùng mục tiêu. Vấn đề này đã được khắc phục trong phiên bản 2.8.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.