CVE-2026-39426

MaxKB müəssisələr üçün açıq mənbəli süni intellekt köməkçisidir. Versiya 2.7.1 və daha aşağı versiyalarda Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyi mövcuddur; burada frontend-in MdRenderer.vue komponenti LLM cavablarından və ya Application Prologue konfiqurasiyalarından fərdiləşdirilmiş <iframe_render> teqlərini analiz edir, standart Markdown təmizlənməsini və XSS filtrləməsini yan keçir. Təmizlənməmiş HTML məzmunu IframeRender.vue komponentinə ötürülür və həmin komponent onu sandbox="allow-scripts allow-same-origin" ilə konfiqurasiya edilmiş srcdoc atributu vasitəsilə birbaşa <iframe> daxilində render edir. Bu, təhlükəli kombinasiya ola bilər və injeksiya edilmiş skriptlərin iframe-dən çıxaraq window.parent istifadə etməklə valideyn pəncərəsində JavaScript kodunu icra etməsinə şərait yaradır. Prologue tətbiqin çat interfeysinə daxil olan hər bir istifadəçi üçün render edildiyi üçün bu, sessiyanın ələ keçirilməsinə, icazəsiz hərəkətlərə və həssas məlumatların sızmasına səbəb ola bilən yüksək təsirli Saxlanılan XSS ilə nəticələnir. Bu problem 2.8.0 versiyasında düzəldilib.