CVE-2026-39422 CVSS 5.4 中危

CVE-2026-39422 MaxKB存储型XSS漏洞

披露日期: 2026-04-14

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-39422

漏洞类型

存储型跨站脚本 (Stored XSS)

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

MaxKB

漏洞概述

MaxKB是基于开源大语言模型的AI知识库系统。在2.7.1及以下版本中，系统存在存储型跨站脚本（XSS）漏洞。攻击者可利用创建应用时的名称或图标字段注入恶意脚本。当受害者访问公共聊天界面时，由于服务端未对数据进行转义，恶意脚本将在受害者浏览器中执行，导致会话劫持或敏感信息泄露。

技术细节

该漏洞位于MaxKB的ChatHeadersMiddleware组件中。当用户创建应用时，系统未对“应用名称”和“图标”字段进行充分的安全过滤，允许存储任意字符。当受害者访问公共聊天路径/ui/chat/{access_token}时，中间件会查询应用配置，并通过字符串替换直接将其拼接到HTTP响应的HTML中。由于缺少HTML实体编码，攻击者注入的JavaScript代码被浏览器解析执行，从而在受害者上下文中实现持久化攻击。

攻击链分析

STEP 1

步骤1

攻击者在MaxKB中创建新应用，在“应用名称”或“图标”字段中注入恶意JavaScript代码。

STEP 2

步骤2

系统将包含恶意代码的数据保存到数据库中，未进行足够的转义处理。

STEP 3

步骤3

攻击者诱导受害者访问该应用的公共聊天链接（/ui/chat/{access_token}）。

STEP 4

步骤4

服务器端ChatHeadersMiddleware获取应用数据，并直接将其插入到HTML响应中。

STEP 5

步骤5

受害者的浏览器解析HTML并执行恶意脚本，攻击者获取受害者上下文权限。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- Proof of Concept for Stored XSS in MaxKB -->
<!-- Step 1: Inject payload into Application Name or Icon field -->
<script>alert('CVE-2026-39422 - XSS Executed');</script>

<!-- Alternative Payload using Image Tag -->
<img src=x onerror=alert(document.cookie)>

影响范围

MaxKB <= 2.7.1

防御指南

临时缓解措施

建议立即将MaxKB升级至2.8.0或更高版本。若无法立即升级，应严格限制公共聊天接口的访问权限，并对用户提交的应用名称和图标数据进行人工审核或严格的输入清洗。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表