CVE-2026-77523
Açıklama
MaxKB, işletmeler için açık kaynaklı bir yapay zeka asistanıdır. Versiyon 2.10.3-lts ve öncesinde, model parametre formu rotası workspace yolunu yetkilendirirken, ModelSerializer.ModelParams sorguya workspace_id eklemeden modeli yalnızca id ile yükler ve kaydeder. Saldırganın kontrolündeki bir workspace üzerinde model okuma iznine sahip kimliği doğrulanmış bir kullanıcı, başka bir workspace'teki kurbanın model_params_form verilerini okumak veya üzerine yazmak için bilinen bir victim model_id sağlayabilir; bu durum potansiyel olarak söz konusu varsayılanları kullanan iş akışlarının değiştirilmesine yol açabilir. Bu inceleme itibarıyla düzeltilmiş bir versiyon mevcut değildir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| 1Panel-dev MaxKB | <= 2.10.3-lts | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.