CVE-2026-79917 in MaxKB
摘要
由 VulDB • 2026-09-21
MaxKB 是一款面向企业的开源 AI 助手。在版本 2.7.0 至 2.10.4-lts 中，POST /chat/api/{application_id}/chat/{chat_id}/share_chat 接口仅验证对话是否存在，但未验证该对话是否属于经过身份验证的 chat_user_id 或与调用者令牌绑定的应用程序。攻击者只要拥有任意聊天令牌和已知的受害者 chat_id，即可创建未认证的公共 ChatShareLink，从而暴露受害者的对话内容；同时可创建 PublicFileAccess 状态，使得关联文件无需凭据即可被检索，且目前尚无撤销路径。截至本次审查时，暂无修复版本可用。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.