MaxKB 企业 AI 助手——UpdateStoreTool 中通过未验证下载/回调 URL 的 SSRF

使认证但权限较低的工作区用户能够通过 MaxKB 服务器进入内部网络资源，可能到达云元数据端点或内部管理界面，这通常不暴露。

UpdateStoreTool.update_tool 将调用者提供的 download_url 和 download_callback_url 值传递给 requests.get，而无需受信主机或重定向验证，允许经认证的工作区用户触发对内部服务的 SSRF。

MaxKB 2.0.0 至 2.10.4-lts

按照 GitHub 提交修复升级；向工具管理代码中的出站请求添加受信主机允许列表和重定向验证。