CVE-2026-41947 in dify
الملخص
بحسب VulDB • 18/05/2026
تحتوي نسخة Dify 1.14.1 والإصدارات الأقدم على ثغرة تجاوز التفويض تتيح لمستخدمي المحرر المصادق عليهم تعيين وتمكين تكوينات التتبع لأي تطبيق بغض النظر عن ملكية المستأجر. يمكن للمهاجمين استغلال نقص فحوصات ملكية المستأجر في نقاط نهاية تكوين التتبع لإعادة توجيه جميع الرسائل والاستجابات من تطبيقات الضحية إلى مزودي تتبع نماذج اللغات الكبيرة (LLM) التي يتحكم فيها المهاجم. ملاحظة: يسمح Dify Cloud بالتسجيل الذاتي المجاني دون مصادقة، مما يجعل إنشاء الحسابات سهلاً للغاية لأي مهاجم.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.