CVE-2026-39425

MaxKB, işletmeler için açık kaynaklı bir yapay zeka asistanıdır. 2.7.1 ve altı sürümler, kimliği doğrulanmış kullanıcıların kötü amaçlı yükleri <html_rander> etiketleri içine alarak Uygulama prolog (Açılış Konuşmaları) alanına rastgele HTML ve JavaScript enjekte etmesine olanak tanıyan bir Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyeti içermektedir. Backend, uygulamalar /admin/api/workspace/{workspace_id}/application uç noktası üzerinden oluşturulduğunda veya güncellendiğinde prolog alanındaki HTML varlıklarını temizlememekte veya kodlamamakta, ham yükü doğrudan veritabanında saklamaktadır. Frontend daha sonra bu içeriği innerHTML benzeri bir mekanizma kullanarak işlerken <html_rander> ile sarmalanmış içeriğin güvenli olduğunu varsayar; bu durum, etkilenen sohbet botu arayüzünü açan herhangi bir ziyaretçiye karşı kalıcı DOM tabanlı Saklı XSS yürütülmesini sağlar. İstismar edilmesi, oturum çalma, kurbanlar adına yetkisiz işlemler gerçekleştirilmesi (çalışma alanlarının veya uygulamaların silinmesi gibi) ve hassas veri ifşasına yol açabilir. Bu sorun 2.8.0 sürümünde düzeltilmiştir.