CVE-2026-44847
WysokieStreszczenie
MaxKB to otwartoźródłowy asystent AI dla przedsiębiorstw. W wersjach przed 2.9.0, punkt końcowy wyzwalacza webhooka (/api/trigger/v1/webhook/{trigger_id}) jest dostępny bez uwierzytelnienia, co pozwala nieautoryzowanym atakującym na wywoływanie zadań związanych z danym identyfikatorem wyzwalacza.
Ocena ryzyka
Nieautoryzowani atakujący mogą wykorzystać tę podatność do uruchamiania zadań, co może prowadzić do nieautoryzowanego dostępu do zasobów i potencjalnych strat dla organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 2.9.0 lub nowszej, aby zabezpieczyć punkt końcowy webhooka przed nieautoryzowanym dostępem.
Oryginalny opis (angielski, źródło NVD)
MaxKB is an open-source AI assistant for enterprise. Prior to 2.9.0, MaxKB's webhook trigger endpoint (/api/trigger/v1/webhook/{trigger_id}) is accessible without authentication. The WebhookAuth class unconditionally returns (None, {}), which Django REST Framework interprets as successful authentication. Combined with optional per-trigger token verification and no backend enforcement of token requirements, any unauthenticated attacker who knows a valid trigger ID can invoke webhook triggers to execute their bound tasks. This vulnerability is fixed in 2.9.0.