Title: MaxKB de 1Panel-dev, Description: MaxKB es un asistente de IA de código abierto para empresas. Antes de la 2.9.0, el endpoint de activación de webhook de MaxKB (/api/trigger/v1/webhook/{trigger_id}) es accesible sin autenticación. La clase WebhookAuth devuelve incondicionalmente (None, {}), lo que Django REST Framework interpreta como autenticación exitosa. Combinado con la verificación de token opcional por activador y la ausencia de aplicación de requisitos de token por parte del backend, cualquier atacante no autenticado que conozca un ID de activador válido puede invocar activadores de webhook para ejecutar sus tareas vinculadas. Esta vulnerabilidad se corrige en la 2.9.0.

Title: MaxKB de 1Panel-dev, Description: MaxKB es un asistente de IA de código abierto para empresas. Antes de la 2.9.0, el endpoint de activación de webhook de MaxKB (/api/trigger/v1/webhook/{trigger_id}) es accesible sin autenticación. La clase WebhookAuth devuelve incondicionalmente (None, {}), lo que Django REST Framework interpreta como autenticación exitosa. Combinado con la verificación de token opcional por activador y la ausencia de aplicación de requisitos de token por parte del backend, cualquier atacante no autenticado que conozca un ID de activador válido puede invocar activadores de webhook para ejecutar sus tareas vinculadas. Esta vulnerabilidad se corrige en la 2.9.0.

Title: MaxKB de 1Panel-dev, Description: MaxKB es un asistente de IA de código abierto para empresas. Antes de la 2.9.0, el endpoint de activación de webhook de MaxKB (/api/trigger/v1/webhook/{trigger_id}) es accesible sin autenticación. La clase WebhookAuth devuelve incondicionalmente (None, {}), lo que Django REST Framework interpreta como autenticación exitosa. Combinado con la verificación de token opcional por activador y la ausencia de aplicación de requisitos de token por parte del backend, cualquier atacante no autenticado que conozca un ID de activador válido puede invocar activadores de webhook para ejecutar sus tareas vinculadas. Esta vulnerabilidad se corrige en la 2.9.0.

{"timestamp":"2026-06-01T17:04:17.564404Z","id":"CVE-2026-44847","options":[{"exploitation":"none"},{"automatable":"yes"},{"technicalImpact":"partial"}],"role":"CISA Coordinator","version":"2.0.3"}

[{"vendor":"1Panel-dev","product":"MaxKB","versions":[{"version":"< 2.9.0","status":"affected"}]}]

MaxKB is an open-source AI assistant for enterprise. Prior to 2.9.0, MaxKB's webhook trigger endpoint (/api/trigger/v1/webhook/{trigger_id}) is accessible without authentication. The WebhookAuth class unconditionally returns (None, {}), which Django REST Framework interprets as successful authentication. Combined with optional per-trigger token verification and no backend enforcement of token requirements, any unauthenticated attacker who knows a valid trigger ID can invoke webhook triggers to execute their bound tasks. This vulnerability is fixed in 2.9.0.

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

CWE-287

CWE-306

https://github.com/1Panel-dev/MaxKB/issues/5213

https://github.com/1Panel-dev/MaxKB/security/advisories/GHSA-r3j3-j58q-rjpp