安全公告 · 2026 年 10 月 22 日
MaxKB 已发布 v2.10.8 LTS 安全版本，集中修复多个安全漏洞。建议所有用户尽快升级，升级前请做好数据备份。
2026 年 10 月 15 日、10 月 22 日，MaxKB 开源企业级智能体平台先后发布 v2.10.7 LTS 与 v2.10.8 LTS 版本，本次更新以安全漏洞修复和问题修复为主。为保障系统与数据安全，建议所有使用 MaxKB 的用户尽快升级至最新安全版本 v2.10.8 LTS。
一、影响版本与安全版本
低于 v2.10.8 LTS 的所有版本（含 v2.10.7 LTS 及更早版本）
升级至 v2.10.8 LTS 及以上
二、漏洞详情
（一）v2.10.8 LTS 修复的安全漏洞
1. 安全漏洞（X-Pack）：修复登录认证配置接口未对敏感字段脱敏、明文回显第三方登录应用凭据（如钉钉的 app_key、corp_id、app_secret），可导致企业应用被接管的安全漏洞。
（二）v2.10.7 LTS 修复的安全漏洞
1. 安全漏洞：修复 Celery 任务消息签名密钥可被推导，可导致远程命令执行的安全漏洞（NVDB-CAIVD-2026894112）；
2. 安全漏洞：修复管理端 oss/get_url 接口功能级授权缺失（BFLA），可导致未授权访问与 SSRF（服务器端请求伪造）的安全漏洞（NVDB-CAIVD-2026080673）；
3. 安全漏洞：修复可通过 chat_record_id 覆盖其他访客会话记录的安全漏洞（会话完整性）；
4. 安全漏洞：修复点赞和点踩接口仍接受跨客户端操作的安全漏洞；
5. 安全漏洞：修复自定义工具“初始化参数”校验规则存在 Eval 注入，可执行任意 JavaScript 的安全漏洞；
6. 安全漏洞：修复知识库名称存在路径穿越，可以写入任意 .xlsx 文件并污染实例级导入模板的安全漏洞；
7. 安全漏洞：修复账户接管的安全漏洞；
8. 安全漏洞：修复对话文件代理因主机黑名单校验不完整，导致未认证 SSRF 的安全漏洞；
9. 安全漏洞：修复 MCP 配置 URL 未校验，导致 USER 角色对任意地址发起 SSRF 并回读响应（Web 进程直连、不经沙箱）的安全漏洞；
10. 安全漏洞：修复登录验证码通过后未销毁，导致未认证在线口令爆破（可接管 admin）的安全漏洞；
11. 安全漏洞：修复已认证用户可经未限定作用域的缓存命中、越权获取跨工具执行记录的安全漏洞。
三、修复方案
官方修复方案为升级至 v2.10.8 LTS。请在升级前备份数据库与上传文件，并参考官方离线升级文档按步骤操作。
- 下载地址： https://community.fit2cloud.com/#/products/maxkb/downloads
- 升级指南： https://docs.fit2cloud.com/maxkb/installation/offline_installtion
四、参考链接
