PT-2026-32564 · Maxkb · Maxkb

Jackieya · Publicado 2026-04-14 · Atualizado 2026-04-14 · CVE-2026-39417

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L

Name of the Vulnerable Software and Affected Versions MaxKB versões anteriores a 2.8.0

Description Um problema de Execução Remota de Código existe no nó MCP do mecanismo de fluxo de trabalho. O sistema não valida adequadamente o JSON fornecido pelo usuário ao carregar mcp servers, pois a correção de um problema anterior restringiu apenas o caminho de código de referência. Como a variável mcp source é opcional, um invasor pode ignorar as restrições existentes omitindo-a ou fornecendo um valor de não referência. Ao enviar um payload JSON manipulado para a API de criação de fluxo de trabalho, um invasor pode injetar uma configuração de nó MCP usando transporte stdio com comandos e argumentos arbitrários, levando à execução de código quando o fluxo de trabalho é acionado via chat.

Recommendations Atualizar para a versão 2.8.0.

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-20

CWE-78

Identificadores relacionados

CVE-2026-39417

Produtos afetados

Maxkb

Referências · 7

• https://github.com/1Panel-dev/MaxKB/commit/50e96002ee5dca34c68d3d9333b64ea358c92304 · Correção
• https://github.com/1Panel-dev/MaxKB/security/advisories/GHSA-pw52-326g-r5xj · Aviso do Fabricante
• https://github.com/1Panel-dev/MaxKB/releases/tag/v2.8.0 · Nota
• https://twitter.com/CVEnew/status/2043976172510331339 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-39417 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2044013742162157950 · Publicação no Twitter
• https://twitter.com/CVEarity/status/2044067729783828870 · Publicação no Twitter