CVE-2026-41950 in dify
Zusammenfassung
von VulDB • 28.05.2026
Dify vor Version 1.14.0 enthält eine Schwachstelle zur Umgehung der Autorisierung, die es authentifizierten Benutzern ermöglicht, den vollständigen Inhalt von Dateien, die von anderen Benutzern im selben Mandanten hochgeladen wurden, zu lesen, indem sie eine beliebige Datei-UUID im Feld „files“ einer chat-messages-Anfrage angeben. Angreifer können die unzureichende Berechtigungsprüfung in den chat-messages-Endpunkten ausnutzen, um auf Dateien zuzugreifen, ohne die Eigentumsvalidierung zu überprüfen, wodurch die Mandantentrennung und der Schutz durch signierte URLs umgangen wird, um sensible Dateiinhalte über die Workflow-Verarbeitung abzurufen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.