CVE-2026-41950 in dify
Resumen
por VulDB • 2026-05-18
Dify antes de la versión 1.14.0 contiene una vulnerabilidad de elusión de autorización que permite a los usuarios autenticados leer el contenido completo de los archivos cargados por otros usuarios dentro del mismo inquilino (tenant) mediante el suministro de un UUID de archivo arbitrario en la matriz de archivos de una solicitud de chat-messages. Los atacantes pueden explotar la verificación insuficiente de permisos en los extremos (endpoints) de chat-messages para acceder a archivos sin validación de propiedad, eludiendo la separación del espacio de trabajo y las protecciones de URL firmadas para recuperar el contenido sensible de los archivos a través del procesamiento de flujos de trabajo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.