CVE-2026-54149
Açıklama
MaxKB, işletmeler için açık kaynaklı bir yapay zeka asistanıdır. 2.10.0-lts sürümünden önce, apps/tools/serializers/tool.py içindeki MaxKB araç içe aktarma işlevi ve apps/application/chat_pipeline/step/chat_step/impl/base_chat_step.py içindeki MCP referanslama modu, MCP taşıma türünü tutarlı bir şekilde doğrulamamaktadır; bu durum, kimliği doğrulanmış bir kullanıcının kötü amaçlı komutlar içeren stdio taşımasına sahip bir .tool dosyasını içe aktarmasına ve bunu bir AI Chat düğümü aracılığıyla tetikleyerek MultiServerMCPClient'ın rastgele sistem komutları yürütmesine olanak tanır. Bu sorun 2.10.0-lts sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| 1Panel-dev MaxKB | < 2.10.0-lts | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.