CVE-2026-39424

MaxKB, işletmeler için açık kaynaklı bir yapay zeka asistanıdır. 2.7.1 ve altı sürümlerde, sohbet dışa aktarma özelliği, bir CSV Dosyasındaki Formül Öğelerinin Uygun Şekilde Nötralize Edilmemesi sorununa karşı savunmasızdır. Bir yönetici, uygulama sohbet geçmişini /admin/api/workspace/{workspace_id}/application/{application_id}/chat/export uç noktası üzerinden bir Excel dosyasına (.xlsx) aktardığında, formül karakterleriyle başlayan diziler uygun temizleme işlemi yapılmadan doğrudan yazılır. Bu dosyanın Microsoft Excel gibi hesap tablosu uygulamalarında açılması, Dinamik Veri Değişimi (DDE) aracılığıyla yöneticinin iş istasyonunda Keyfi Kod Çalıştırmaya (RCE) yol açabilir. Bu sorun, apps/dataset/serializers/document_serializers.py dosyasındaki aynı kalıbı düzelten ancak uygulama sohbet dışa aktarma noktasını gözden kaçıran CVE-2025-4546'nın bir varyantıdır. Bu sorun 2.8.0 sürümünde düzeltilmiştir.