PT-2026-32574 · Maxkb · Maxkb

Liqiang-Fit2Cloud · Publicado 2026-04-14 · Atualizado 2026-04-14 · CVE-2026-39420

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

Name of the Vulnerable Software and Affected Versions MaxKB versões anteriores a 2.8.0

Description Um mecanismo de proteção de sandbox incompleto permite que um usuário autenticado com privilégios de execução de ferramentas escape da sandbox baseada em LD PRELOAD. O sistema restringe a execução de código Python não confiável através da 'Tool Debug API' injetando sandbox.so por meio da variável de ambiente LD PRELOAD para interceptar funções sensíveis da biblioteca C, como execve, socket e open. No entanto, como o utilitário /usr/bin/env pode ser executado, um invasor pode executar o comando env -i python. A flag -i limpa todas as variáveis de ambiente, incluindo LD PRELOAD, o que remove o hook sandbox.so. Isso permite que o processo Python recém-criado seja executado nativamente, resultando em Execução Remota de Código (RCE) e acesso à rede irrestritos.

Recommendations Atualizar para a versão 2.8.0.

Correção

Protection Mechanism Failure

OS Command Injection

Enumeração de Fraquezas

CWE-693

CWE-78

Identificadores relacionados

CVE-2026-39420

Produtos afetados

Maxkb

Referências · 7

• https://github.com/1Panel-dev/MaxKB/commit/2d17b08e6b060329803754a05e806d0ddecf3fa8 · Correção
• https://github.com/1Panel-dev/MaxKB/security/advisories/GHSA-7wgv-v2r3-7f7w · Aviso do Fabricante
• https://github.com/1Panel-dev/MaxKB/releases/tag/v2.8.0 · Nota
• https://twitter.com/VulmonFeeds/status/2043990705203220527 · Publicação no Twitter
• https://twitter.com/CVEarity/status/2044089978863718803 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-39420 · Nota de Segurança
• https://twitter.com/CVEnew/status/2043976153652728191 · Publicação no Twitter