CVE-2026-39424

MaxKB müəssisələr üçün açıq mənbəli süni intellekt köməkçisidir. 2.7.1 və daha aşağı versiyalarda çatın ixrac edilməsi funksiyası CSV faylında düstur elementlərinin yanlış neytrallaşdırılmasına qarşı həssasdır. Administrator tətbiqin çat tarixçəsini /admin/api/workspace/{workspace_id}/application/{application_id}/chat/export son nöqtəsi vasitəsilə Excel faylına (.xlsx) ixrac etdikdə, düstur simvolları ilə başlayan sətirlər lazımi təmizləmə aparılmadan birbaşa yazılır. Bu faylın Microsoft Excel kimi cədvəl proqramlarında açılması, Dinamik Məlumat Mübadiləsi (DDE) vasitəsilə administratorun iş stansiyasında ixtiyari kodun icrasına (RCE) səbəb ola bilər. Problem, apps/dataset/serializers/document_serializers.py faylında eyni şablonu düzəldən lakin tətbiq çatının ixrac nöqtəsini nəzərdən qaçıran CVE-2025-4546 boşluğunun variantıdır. Bu problem 2.8.0 versiyasında aradan qaldırılmışdır.