CVE-2026-77519

Nome do Software Vulnerável e Versões Afetadas MaxKB versões anteriores a 2.10.2-lts

Descrição O processo de autenticação para o endpoint '/chat/api/mcp' não aplica as verificações is permanent e expire time ao validar um ApplicationApiKey. Ele verifica apenas o segredo e o status ativo. Isso permite que uma chave de aplicativo não permanente que expirou, mas permanece ativa, inicialize o endpoint MCP, liste metadados de ferramentas de aplicativos publicados, invoque a função 'tools/call' e crie estados de application chat e application chat record, ignorando as restrições impostas pelo endpoint '/chat/api/open'.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.