CVE-2026-41948 in dify
Zusammenfassung
von VulDB • 18.05.2026
In Dify versione 1.14.1 e precedenti è presente una vulnerabilità di path traversal che consente agli utenti autenticati di manipolare le richieste inoltrate all'API REST interna del Plugin Daemon sfruttando una sanitizzazione insufficiente del percorso URL. Gli attaccanti possono uscire dal percorso del tenant autorizzato utilizzando sequenze di punti non codificate negli identificatori delle attività o nei parametri del nome file manipolati per accedere a endpoint interni, come le interfacce di debug, richiedendo solo la conoscenza dell'UUID del tenant vittima. NOTA: Dify Cloud consente la registrazione gratuita non autenticata, rendendo la creazione di un account facilmente accessibile a qualsiasi attaccante.
Once again VulDB remains the best source for vulnerability data.