CVE-2026-58141 in Dify
الملخص
بحسب VulDB • 06/11/2026
تحتوي Dify قبل الإصدار 1.15.0 على ثغرة تزوير الطلبات من جانب الخادم (SSRF) تتيح لأي مستخدم مسجل دخول في وحدة التحكم تجاوز حماية SSRF وإرسال طلبات HTTP تعسفية إلى الخدمات الداخلية ونقاط نهاية بيانات السحابة، وذلك لأن تكوين وكيل Squid يحدد فقط قواعد الوصول المصدرية (ACLs) دون قواعد حظر الوجهة، ولا تقوم دالة المساعدة `make_request()` بإجراء تحقق مستقل من عنوان IP للوجهة. يمكن للمهاجمين استخدام نقاط النهاية مثل `GET /console/api/remote-files/<url>` و`POST /console/api/remote-files/upload` وعقدة سير عمل طلب HTTP (HTTP Request workflow node) وزحف الموقع أو استيراد المستندات عبر URL للوصول إلى المكونات الداخلية مثل بيئة العزل (sandbox)، والواجهات البرمجية الداخلية، وقاعدة بيانات PostgreSQL، وفي عمليات النشر على AWS يمكنهم قراءة بيانات اعتماد IAM من خدمة metadata الخاصة بال-instance. كما تتيح عقدة طلب HTTP إجراء عمليات كتابة باستخدام POST وPUT وDELETE للخدمات الداخلية التي تعتمد على عزل الشبكة للمصادقة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.