CVE-2025-48950

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2025-48950
MaxKB is an open-source AI assistant for enterprise. Prior to version 1.10.8-lts, Sandbox only restricts the execution permissions of binary files in common directories, such as `/bin,/usr/bin`, etc. Therefore, attackers can exploit some files with execution permissions in non blacklisted directories to carry out attacks. Version 1.10.8-lts fixes the issue.

8.8 /10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 2.0 / Impact : 6.0

Attack Vector LOCAL

Attack Complexity LOW

Privileges Required LOW

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact HIGH

Availability Impact HIGH

Scope CHANGED

References
Link Resource
https://github.com/1Panel-dev/MaxKB/commit/187e9c1e4ea1ebb6864c5bf61558c42f2fc6c005 Patch
https://github.com/1Panel-dev/MaxKB/pull/3127 Issue Tracking
https://github.com/1Panel-dev/MaxKB/releases/tag/v1.10.8-lts Release Notes
https://github.com/1Panel-dev/MaxKB/security/advisories/GHSA-p2qq-x9j2-px8v Exploit Vendor Advisory
Configurations

Configuration 1 (hide)

cpe:2.3:a:maxkb:maxkb:*:*:*:*:lts:*:*:*
History

06 Aug 2025, 19:13

Type Values Removed Values Added
Summary (es) MaxKB es un asistente de IA de código abierto para empresas. Antes de la versión 1.10.8-lts, la sandbox solo restringía los permisos de ejecución de archivos binarios en directorios comunes, como `/bin,/usr/bin`, etc. Por lo tanto, los atacantes pueden explotar algunos archivos con permisos de ejecución en directorios no incluidos en la lista negra para llevar a cabo ataques. La versión 1.10.8-lts corrige el problema. (es) MaxKB es un asistente de IA de código abierto para empresas. Antes de la versión 1.10.8-lts, la sandbox solo restringía los permisos de ejecución de archivos binarios en directorios comunes, como `/bin,/usr/bin`, etc. Por lo tanto, los atacantes podían explotar algunos archivos con permisos de ejecución en directorios no incluidos en la lista negra para llevar a cabo ataques. La versión 1.10.8-lts corrige el problema.
CPE cpe:2.3:a:maxkb:maxkb:*:*:*:*:lts:*:*:*
CVSS v2 : unknown
v3 : unknown 		v2 : unknown
v3 : 8.8
First Time Maxkb maxkb
Maxkb
References () https://github.com/1Panel-dev/MaxKB/commit/187e9c1e4ea1ebb6864c5bf61558c42f2fc6c005 - () https://github.com/1Panel-dev/MaxKB/commit/187e9c1e4ea1ebb6864c5bf61558c42f2fc6c005 - Patch
References () https://github.com/1Panel-dev/MaxKB/pull/3127 - () https://github.com/1Panel-dev/MaxKB/pull/3127 - Issue Tracking
References () https://github.com/1Panel-dev/MaxKB/releases/tag/v1.10.8-lts - () https://github.com/1Panel-dev/MaxKB/releases/tag/v1.10.8-lts - Release Notes
References () https://github.com/1Panel-dev/MaxKB/security/advisories/GHSA-p2qq-x9j2-px8v - () https://github.com/1Panel-dev/MaxKB/security/advisories/GHSA-p2qq-x9j2-px8v - Exploit, Vendor Advisory

04 Jun 2025, 14:54

Type Values Removed Values Added
Summary
  • (es) MaxKB es un asistente de IA de código abierto para empresas. Antes de la versión 1.10.8-lts, la sandbox solo restringía los permisos de ejecución de archivos binarios en directorios comunes, como `/bin,/usr/bin`, etc. Por lo tanto, los atacantes pueden explotar algunos archivos con permisos de ejecución en directorios no incluidos en la lista negra para llevar a cabo ataques. La versión 1.10.8-lts corrige el problema.

03 Jun 2025, 19:15

Type Values Removed Values Added
New CVE
Information

Published : 2025-06-03 19:15

Updated : 2025-08-06 19:13

NVD link : CVE-2025-48950

Mitre link : CVE-2025-48950

CVE.ORG link : CVE-2025-48950

JSON object : View

Products Affected

maxkb

  • maxkb
CWE
CWE-276

Incorrect Default Permissions