Podatności MaxKB

MaxKB to open-source'owy asystent AI dla przedsiębiorstw. Przed wersją 2.10.5-lts uwierzytelnieni członkowie workspace mogą wstrzykiwać znaki kontrolne do pól access_key_id i secret_access_key AWS Bedrock, które funkcja _update_aws_credentials zapisuje do /root/.aws/credentials bez bezpiecznego parsowania. Atakujący może dopisać nowy profil AWS zawierający credential_process, a następnie wybrać go podczas późniejszej walidacji modelu, aby botocore wykonał kontrolowane przez atakującego polecenie jako root.

MaxKB to open-source'owy asystent AI dla przedsiębiorstw. Przed wersją 2.10.5-lts asystenci z narzędziem, narzędziem MCP, umiejętnością lub podaplikacją używają SandboxShellBackend, który udostępnia narzędzie execute shell bez jego wykluczenia i pomija execute w interrupt_on, więc zatwierdzenie przez człowieka nie jest wymagane. Niezaufany czat lub przetworzona treść mogą zatem wywołać wykonanie polecenia; wdrożenia źródłowe z wyłączonym MAXKB_SANDBOX uruchamiają polecenia bezpośrednio jako użytkownik aplikacji, a oficjalny kontener root z opakowaniem gosu opartym na łańcuchach pozwalał na wykonanie metaznaków powłoki poza zamierzonym sandboxem.

W MaxKB przed wersją 2.10.6-lts kod biblioteki funkcji działający w sandboxie LD_PRELOAD może wywołać ctypes.CDLL z callbacku importlib.abc.MetaPathFinder, tak aby heurystyka stosu wywołań dlopen zobaczyła ramkę importu Pythona, a następnie użyć niepodpiętego dlsym z RTLD_NEXT do rozwiązania prawdziwego wywołania systemowego glibc i obejścia czarnej listy wywołań systemowych sandboxa.

W MaxKB przed wersją 2.10.6-lts sandbox LD_PRELOAD w ToolExecutor przechwytuje execve, execvpe i execveat, aby zapobiec tworzeniu podprocesów, ale nie przechwytuje fexecve. Uwierzytelniony atakujący zdolny do wykonania kodu narzędzia może wywołać fexecve, aby uruchomić proces poza zamierzoną polityką podprocesów sandboxa.

W MaxKB w wersjach 2.7.0 do 2.10.4-lts endpoint POST /chat/api/{application_id}/chat/{chat_id}/share_chat sprawdza jedynie istnienie konwersacji, ale nie weryfikuje, czy należy ona do uwierzytelnionego chat_user_id ani do aplikacji powiązanej z tokenem wywołującego. Atakujący z dowolnym tokenem czatu i znanym chat_id ofiary może utworzyć publiczny link ChatShareLink ujawniający konwersację oraz stan PublicFileAccess umożliwiający pobranie powiązanych plików bez poświadczeń, bez możliwości cofnięcia.

W MaxKB w wersji 2.10.2-lts i wcześniejszych trasy zarządzania rekordami czatu autoryzują application_id ze ścieżki, ale ładują rekordy używając globalnych wartości chat_id i chat_record_id bez potwierdzenia, że czat należy do autoryzowanej aplikacji. Zwykły użytkownik w tym samym workspace, znając chat_id utrwalonego rekordu ofiary, może odczytać rekordy czatu ofiary, a także skopiować odpowiedzi ofiary poprzez add_knowledge.

MaxKB, asystent AI dla przedsiębiorstw, w wersji 2.10.3-lts i wcześniejszych, ma podatność w trasie formularza parametrów modelu. Uwierzytelniony użytkownik z uprawnieniami do odczytu modelu w przestrzeni kontrolowanej przez atakującego może odczytać lub nadpisać model_params_form ofiary w innej przestrzeni, używając znanego model_id, bez uwzględnienia workspace_id w zapytaniu.

W MaxKB w wersji 2.10.3-lts i wcześniejszych import i synchronizacja dokumentów web przekazuje URL uwierzytelnionego użytkownika do Fork.fork, który wywołuje requests.get z verify=False i bez ograniczeń schematów, adresów loopback, link-local, prywatnych ani zarezerwowanych. Treść odpowiedzi staje się treścią importowanego dokumentu, co pozwala niskouprzywilejowanemu użytkownikowi na odczyt metadanych chmury lub wewnętrznych usług HTTP przez serwer MaxKB.

W MaxKB w wersji 2.10.2-lts i wcześniejszych zwykły użytkownik w tym samym workspace może uzyskać application_id innego użytkownika z endpointu rankingu pytań aplikacji na stronie głównej, gdy opublikowana aplikacja ofiary ma aktywność rankingową w wybranym zakresie dat. Atakujący mogący tworzyć i publikować aplikacje workflow może umieścić ujawniony identyfikator w węźle aplikacji workflow, uruchomić go, otrzymać dane wyjściowe ofiary i utworzyć trwałe rekordy application_chat pod aplikacją ofiary.

W MaxKB w wersji 2.10.2-lts i wcześniejszych ścieżka uwierzytelniania /chat/api/mcp wyszukuje ApplicationApiKey tylko po sekrecie i statusie aktywności, bez egzekwowania sprawdzeń is_permanent i expire_time używanych przez standardowe API czatu. Wcześniej ważny, niepermanentny klucz aplikacji, który pozostaje aktywny po wygaśnięciu, może zainicjować endpoint MCP, wyświetlić metadane narzędzi opublikowanej aplikacji, wywołać tools/call i utworzyć trwałe rekordy application_chat.

W MaxKB w wersji 2.10.2-lts i wcześniejszych zwykły użytkownik workspace znający tool_id aktywnego narzędzia MCP innego użytkownika może pobrać ukryte narzędzie przez trasę szczegółów narzędzia, która nie stosuje autoryzacji per-zasób używanej przez trasę listy. Odpowiedź zawiera Tool.code, który może zawierać konfigurację serwera MCP i nagłówki, a atakujący mogący tworzyć lub edytować własny workflow może umieścić obcy mcp_tool_id w węźle mcp workflow, aby debug użył konfiguracji MCP właściciela.

W MaxKB od wersji 2.0.0 do 2.10.2-lts trasy operacji na dokumentach i akapitach autoryzują tylko knowledge_id ze ścieżki żądania, a następnie pobierają Document po document_id lub Paragraph po paragraph_id bez potwierdzenia, że obiekt należy do tej bazy wiedzy. Zwykły użytkownik workspace znający UUID dokumentu lub akapitu ofiary może odczytać lub zmodyfikować treść w bazie wiedzy innego użytkownika.

W MaxKB od wersji 2.0.0 do 2.9.2 najniższy rangą członek workspace, któremu odmówiono dostępu do narzędzia przez WorkspaceUserResourcePermission, może nadal powiązać jego identyfikator przez tool_ids, skill_tool_ids lub mcp_tool_ids i wykonać je przez ścieżkę dyspozycji agenta lub workflow. Ścieżka dyspozycji nie stosuje ponownie uprawnień per-narzędzie, a wykonanie narzędzia odszyfrowuje init_params po stronie serwera, co pozwala wywołującemu otrzymać poświadczenia przenoszone przez zabronione narzędzie.

MaxKB od wersji 2.0.0 do 2.10.4-lts w funkcji UpdateStoreTool.update_tool przekazuje wartości download_url i download_callback_url do requests.get bez walidacji zaufanych hostów i przekierowań. Uwierzytelniony użytkownik workspace może zmusić serwer do żądania wewnętrznych, pętli zwrotnej, link-local lub adresów metadanych chmury.

W MaxKB przed wersją 2.10.0-lts funkcja importowania narzędzi oraz tryb odwoływania MCP nie walidują spójnie typu transportu MCP, co pozwala uwierzytelnionemu użytkownikowi zaimportować plik .tool z transportem stdio zawierającym złośliwe polecenia i uruchomić je przez węzeł AI Chat, prowadząc do wykonania dowolnych poleceń systemowych.

Podatność SSRF w MaxKB przed wersją 2.10.0 pozwala uwierzytelnionym użytkownikom na wykonywanie dowolnych żądań serwerowych poprzez niezweryfikowane parametry downloadCallbackUrl i download_url w endpointach tworzenia i aktualizacji narzędzi. Atakujący z domyślną rolą USER mogą wykorzystać tę lukę do uzyskania dostępu do wewnętrznych usług sieciowych.

MaxKB, asystent AI dla przedsiębiorstw, przechowuje hasła użytkowników za pomocą niesolonych skrótów MD5, co umożliwia ich łatwe złamanie przy użyciu tablic tęczowych lub ataku brute-force z akceleracją GPU.

MaxKB przed wersją 2.9.1 jest podatny na SSRF (Server-Side Request Forgery) poprzez import work_flow_template. Uwierzytelnieni użytkownicy mogą podać dowolne adresy URL w polu work_flow_template.downloadUrl, które są pobierane po stronie serwera bez walidacji URL ani filtrowania wewnętrznych adresów IP.

MaxKB przed wersją 2.9.0 udostępnia endpoint webhooka (/api/trigger/v1/webhook/{trigger_id}) bez uwierzytelniania. Klasa WebhookAuth zwraca (None, {}), co jest interpretowane jako pomyślne uwierzytelnienie. Nieuwierzytelniony atakujący znający identyfikator triggera może wywołać webhook i wykonać powiązane zadania.

MaxKB w wersji 2.8.0 i wcześniejszych jest podatny na naruszenie kontroli dostępu w API pobierania URL plików OSS (chat/api/oss/get_url). Endpoint używa application_id z ścieżki URL bez walidacji własności, co pozwala atakującym na wykonywanie operacji w ramach polityk innych aplikacji.

MaxKB 2.8.0 i wcześniejsze wersje są podatne na Server-Side Request Forgery (SSRF) w funkcji pobierania URL plików OSS z powodu niespójnego rozwiązywania DNS między walidacją a rzeczywistym wykonaniem żądania, co pozwala atakującym na dostęp do wewnętrznych usług sieciowych.

MaxKB przed wersją 2.8.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym pobierania adresu URL pliku OSS. Niezgodność w parsowaniu URL między funkcją walidacyjną a klientem HTTP pozwala atakującemu na dostęp do wewnętrznych usług sieciowych.

MaxKB w wersjach 2.7.1 i starszych zawiera lukę Stored XSS, w której komponent MdRenderer.vue przetwarza niestandardowe tagi <iframe_render> z odpowiedzi LLM lub konfiguracji Prologue, omijając sanityzację Markdown i filtry XSS. Nieoczyszczony HTML jest przekazywany do IframeRender.vue i renderowany w iframe z atrybutem srcdoc i sandbox="allow-scripts allow-same-origin", co pozwala wstrzykniętym skryptom uciec z iframe i wykonać JavaScript w oknie nadrzędnym.

MaxKB w wersjach 2.7.1 i starszych zawiera podatność Stored XSS, która pozwala uwierzytelnionym użytkownikom wstrzykiwać dowolny HTML i JavaScript do pola prologu aplikacji (Opening Remarks) poprzez opakowanie złośliwego ładunku w znaczniki <html_rander>. Backend nie sanityzuje ani nie koduje encji HTML w tym polu, a frontend renderuje treść za pomocą mechanizmu równoważnego innerHTML, co umożliwia trwałe wykonanie XSS u każdego odwiedzającego interfejs chatbota. Podatność naprawiono w wersji 2.8.0.

MaxKB to otwartoźródłowy asystent AI dla przedsiębiorstw. W wersjach 2.7.1 i starszych uwierzytelniony użytkownik może obejść walidację wyników piaskownicy i sfałszować wyniki wykonania narzędzia, wykorzystując introspekcję ramek Pythona do odczytania UUID wrappera z jego stałych bajtowych, a następnie zapisując sfałszowany wynik bezpośrednio do deskryptora pliku 1 (omijając przekierowanie stdout). Wywołując sys.exit(0), atakujący kończy wrapper przed wypisaniem prawidłowego wyniku, powodując, że usługa MaxKB parsuje i ufa sfałszowanej odpowiedzi jako prawdziwemu wynikowi narzędzia.

MaxKB w wersjach 2.7.1 i niższych zawiera lukę niewłaściwej neutralizacji elementów formuł w pliku CSV. Podczas eksportu historii czatu do pliku Excel (.xlsx) ciągi znaków rozpoczynające się od znaków formuł są zapisywane bez odpowiedniej sanityzacji, co po otwarciu w programach takich jak Microsoft Excel może prowadzić do zdalnego wykonania kodu (RCE) na stacji roboczej administratora poprzez Dynamic Data Exchange (DDE).

MaxKB w wersjach 2.7.1 i starszych zawiera podatność Eval Injection w silniku renderowania Markdown, pozwalającą każdemu użytkownikowi czatu AI na wykonanie dowolnego JavaScriptu w przeglądarkach innych użytkowników, w tym administratorów (Stored XSS). Podatność naprawiono w wersji 2.8.0.

MaxKB w wersjach 2.7.1 i wcześniejszych zawiera podatność stored XSS poprzez pola nazwy aplikacji lub ikony podczas tworzenia aplikacji. Gdy ofiara odwiedza publiczny interfejs czatu (/ui/chat/{access_token}), ChatHeadersMiddleware pobiera dane aplikacji i bezpośrednio wstawia nieescapowaną nazwę i ikonę aplikacji do odpowiedzi HTML poprzez zamianę ciągów. Umożliwia to wykonanie dowolnego JavaScriptu w przeglądarce ofiary.

MaxKB to open-source'owy asystent AI dla przedsiębiorstw. W wersjach 2.7.1 i starszych komponent ToolExecutor zawiera podatność pozwalającą na ucieczkę z piaskownicy. Uwierzytelniony atakujący z uprawnieniami w przestrzeni roboczej może użyć biblioteki ctypes do wywołania surowych wywołań systemowych i obejść moduł sandbox.so oparty na LD_PRELOAD, uzyskując wykonanie dowolnego kodu. Problem naprawiono w wersji 2.8.0.

MaxKB w wersji 2.7.1 i niższych ma niekompletny mechanizm sandboxa oparty na LD_PRELOAD, który uwierzytelniony użytkownik z uprawnieniami do wykonywania narzędzi może obejść. Poprzez polecenie env można wyczyścić zmienne środowiskowe i usunąć hook sandbox.so, co prowadzi do nieograniczonego zdalnego wykonania kodu (RCE) i dostępu do sieci. Problem naprawiono w wersji 2.8.0.

MaxKB w wersjach 2.7.1 i niższych ma obejście ochrony sieci sandboxa poprzez socket.sendto() z flagą MSG_FASTOPEN. Uwierzytelniony użytkownik z uprawnieniami do edycji narzędzi może uzyskać dostęp do wewnętrznych usług zablokowanych przez konfigurację banned hosts.

MaxKB w wersjach 2.7.1 i niższych zawiera niekompletną poprawkę CVE-2025-53928, przez co w węźle MCP silnika workflow nadal istnieje podatność Remote Code Execution. Poprawka ogranicza tylko ścieżkę referencyjną, podczas gdy gałąź else ładująca mcp_servers bezpośrednio z JSON dostarczonego przez użytkownika pozostaje niezałatana, co pozwala na obejście i zdalne wykonanie kodu.

Podatność w produkcie MaxKB do wersji 2.4.2, dotycząca nieznanej funkcji w pliku ui/src/chat.ts komponentu MdPreview, która umożliwia atak typu cross-site scripting (XSS). Atak może być wykonany zdalnie. Zalecana jest aktualizacja do wersji 2.5.0.

W 1Panel-dev MaxKB do wersji 2.6.1 wykryto podatność w funkcji execute pliku apps/application/flow/step_node/mcp_node/impl/base_mcp_node.py w komponencie Model Context Protocol Node. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; dostawca szybko wydał poprawioną wersję.

W 1Panel-dev MaxKB do wersji 2.6.1 występuje podatność Cross-Site Scripting (XSS) w komponencie ChatHeadersMiddleware (plik apps/common/middleware/chat_headers_middleware.py). Manipulacja argumentem Name umożliwia zdalny atak. Poprawka została wydana w wersji 2.8.0 (commit 026a2d623e2aa5efa67c4834651e79d5d7cab1da).

Wykryto podatność w 1Panel-dev MaxKB do wersji 2.2.1. Dotyczy ona funkcji StaticHeadersMiddleware w pliku apps/common/middleware/static_headers_middleware.py w komponencie Public Chat Interface. Manipulacja argumentem Name prowadzi do cross site scripting, a atak można przeprowadzić zdalnie.

MaxKB to open-source'owy asystent AI dla przedsiębiorstw. W wersjach 2.3.1 i starszych niewłaściwe uprawnienia plików pozwalają atakującym nadpisać wbudowany dynamiczny linker i inne krytyczne pliki, co może prowadzić do eskalacji uprawnień. Problem został naprawiony w wersji 2.4.0.

MaxKB, asystent AI dla przedsiębiorstw o otwartym kodzie źródłowym, w wersjach 2.3.1 i niższych ma podatność w module narzędzi, która pozwala atakującemu na ucieczkę ze środowiska piaskownicy i eskalację uprawnień w określonych warunkach współbieżności. Problem został naprawiony w wersji 2.4.0.

MaxKB, asystent AI dla przedsiębiorstw, przed wersją 2.3.1 umożliwia użytkownikowi uzyskanie wrażliwych informacji poprzez kod Pythona w module narzędzi, mimo że proces działa w sandboxie. Wersja 2.3.1 naprawia ten problem.

MaxKB to open-source'owy asystent AI dla przedsiębiorstw. W wersjach przed 2.3.1, użytkownik może uzyskać dostęp do wewnętrznych usług sieciowych, takich jak bazy danych, przez kod Pythona w module narzędzi, mimo że proces działa w piaskownicy. Wersja 2.3.1 naprawia ten problem.