CVE-2026-79917

Nome do Software Vulnerável e Versões Afetadas MaxKB versões 2.7.0 through 2.10.4-lts

Description Existe um problema onde o sistema verifica a existência de uma conversa, mas não confirma se ela pertence ao chat user id autenticado ou ao aplicativo associado ao token do chamador. Um invasor com qualquer token de chat válido e um chat id de vítima conhecido pode utilizar o endpoint POST '/chat/api/{application id}/chat/{chat id}/share chat' para criar um ChatShareLink público não autenticado. Esta ação expõe a conversa da vítima e cria um estado de PublicFileAccess, permitindo que arquivos associados sejam recuperados sem credenciais. Atualmente, não há um caminho disponível para revogar este acesso.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida de mitigação temporária, restrinja o acesso ao endpoint POST '/chat/api/{application id}/chat/{chat id}/share chat'.