CVE-2026-77519
Açıklama
MaxKB, işletmeler için açık kaynaklı bir yapay zeka asistanıdır. 2.10.2-lts ve önceki sürümlerde, /chat/api/mcp kimlik doğrulama yolu, standart sohbet API'si tarafından kullanılan is_permanent ve expire_time kontrollerini uygulamadan, bir ApplicationApiKey'yi yalnızca gizli anahtarı (secret) ve aktif durumu üzerinden sorgular. Süresi dolduktan sonra aktif kalmaya devam eden, önceden geçerli olan ancak kalıcı olmayan bir uygulama anahtarı; /chat/api/open aynı anahtarı reddetmesine rağmen MCP uç noktasını başlatabilir, yayınlanan uygulamanın araç meta verilerini listeleyebilir, tools/call fonksiyonlarını çağırabilir ve kalıcı application_chat ile application_chat_record durumları oluşturabilir. Bu inceleme itibarıyla düzeltilmiş bir sürüm mevcut değildir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| 1Panel-dev MaxKB | <= 2.10.2-lts | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.