CVE-2026-39426

MaxKB, işletmeler için açık kaynaklı bir yapay zeka asistanıdır. 2.7.1 ve altı sürümler, ön yüzdeki MdRenderer.vue bileşeninin LLM yanıtlarından veya Uygulama Prologue yapılandırmalarından gelen özel <iframe_render> etiketlerini ayrıştırmasıyla oluşan, standart Markdown temizleme ve XSS filtrelemesini atlayan bir Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyeti içermektedir. Temizlenmemiş HTML içeriği, bunu sandbox="allow-scripts allow-same-origin" ile yapılandırılmış srcdoc özniteliği aracılığıyla doğrudan bir <iframe> içine işleyen IframeRender.vue bileşenine aktarılır. Bu durum, enjekte edilen betiklerin iframe'den çıkmasına ve window.parent kullanarak üst pencerede JavaScript çalıştırmasına izin veren tehlikeli bir kombinasyon olabilir. Prologue, bir uygulamanın sohbet arayüzünü ziyaret eden her kullanıcı için işlendiğinden, bu durum oturum çalma, yetkisiz işlemler ve hassas veri ifşasına yol açabilen yüksek etkili bir Saklı XSS ile sonuçlanır. Bu sorun 2.8.0 sürümünde düzeltilmiştir.