CVE-2026-77520

Nome do Software Vulnerável e Versões Afetadas MaxKB versões anteriores a 2.10.2-lts

Descrição Um usuário comum no mesmo espaço de trabalho pode obter o application id de outro usuário através do endpoint de ranking de perguntas de aplicativos da página inicial. Isso ocorre se o aplicativo publicado da vítima tiver atividade de ranking no intervalo de datas selecionado e o invasor souber ou adivinhar o nome do aplicativo, ignorando as restrições das rotas de detalhes do aplicativo e de abertura de depuração. Além disso, um invasor que possa criar e publicar um aplicativo de fluxo de trabalho pode inserir o identificador divulgado em um nó de aplicativo de fluxo de trabalho de sua propriedade. Ao acionar esse fluxo, o invasor pode receber a saída gerada pelo aplicativo da vítima e criar linhas de application chat e application chat record sob o aplicativo da vítima, pois os caminhos de salvamento e execução não verificam a permissão para usar o aplicativo referenciado.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.