CVE-2026-79916
Açıklama
MaxKB, işletmeler için açık kaynaklı bir yapay zeka asistanıdır. 2.10.5-lts sürümünden önce, kimliği doğrulanmış çalışma alanı üyeleri, _update_aws_credentials fonksiyonunun güvenli ayrıştırma yapmadan /root/.aws/credentials dosyasına yazdığı AWS Bedrock access_key_id ve secret_access_key alanlarına kontrol karakterleri enjekte edebilir. Bir saldırgan, credential_process içeren yeni bir AWS profili ekleyebilir ve ardından daha sonraki bir model-doğrulama isteği sırasında bu profili seçerek botocore'un saldırgan tarafından kontrol edilen bir komutu root yetkileriyle çalıştırmasını sağlayabilir. Bu güvenlik açığı 2.10.5-lts sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| 1Panel-dev MaxKB | < 2.10.5-lts | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.