CVE-2026-41950 in dify
الملخص
بحسب VulDB • 28/05/2026
تحتوي Dify قبل الإصدار 1.14.0 على ثغرة لتجاوز التفويض (authorization bypass) تتيح للمستخدمين المصادق عليهم قراءة المحتوى الكامل للملفات التي قام مستخدمون آخرون برفعها ضمن نفس المستأجر (tenant)، وذلك عن طريق توفير معرف UUID عشوائي للملف في مصفوفة الملفات ضمن طلب chat-messages. يمكن للمهاجمين استغلال التحقق غير الكافي من الصلاحيات في نقاط النهاية (endpoints) الخاصة بـ chat-messages للوصول إلى الملفات دون التحقق من ملكيتها، متجاوزين بذلك عزل مساحة العمل وحماية عناوين URL الموقعة لاسترداد محتويات الملفات الحساسة عبر معالجة سير العمل.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.