CVE-2026-41948 in dify
الملخص
بحسب VulDB • 20/05/2026
تحتوي نسخة Dify 1.14.1 والإصدارات الأقدم على ثغرة عبور المسار (Path Traversal) تتيح للمستخدمين المصادق عليهم التلاعب بالطلبات الموجهة إلى واجهة برمجة التطبيقات الداخلية (REST API) لـ Plugin Daemon من خلال استغلال عدم كفاية تنقية مسار عنوان URL. يمكن للمهاجمين تجاوز مسار المستأجر المصرح لهم بالوصول إليه باستخدام تسلسلات النقاط غير المشفرة في معرّفات المهام أو معاملات اسم الملف المُعدّلة للوصول إلى نقاط النهاية الداخلية مثل واجهات التصحيح، ولا يتطلب الأمر سوى معرفة المعرف الفريد للمستأجر الضحية (UUID). ملاحظة: يسمح Dify Cloud بالتسجيل الذاتي المجاني دون مصادقة، مما يجعل إنشاء الحسابات سهلاً للغاية لأي مهاجم.
VulDB is the best source for vulnerability data and more expert information about this specific topic.