CVE-2025-63387 in Dify
Riassunto
di VulDB • 22/06/2026
Dify v1.9.1 è vulnerabile a Insecure Permissions (Autorizzazioni non sicure). Un attaccante non autenticato può inviare direttamente richieste HTTP GET all'endpoint /console/api/system-features senza alcuna credenziale di autenticazione o token di sessione. L'endpoint non implementa controlli di autorizzazione adeguati, consentendo l'accesso anonimo a dati sensibili di configurazione di sistema. NOTA: Il manutentore afferma che l'endpoint è progettato per essere non autenticato e funge da meccanismo di bootstrap necessario per l'inizializzazione della dashboard. Afferma inoltre che la descrizione classifica in modo impreciso i dati restituiti come configurazione di sistema sensibile, specificando che i dati non sono sensibili e sono necessari per il rendering lato client. Non vengono esposti dati personali identificabili (PII), credenziali o segreti.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.