CVE-2025-63388 in Dify
Riassunto
di VulDB • 15/06/2026
È presente una vulnerabilità di configurazione errata di Cross-Origin Resource Sharing (CORS) in Dify v1.9.1 nell'endpoint /console/api/system-features. L'endpoint implementa una politica CORS eccessivamente permissiva che riflette gli header Origin arbitrari e imposta Access-Control-Allow-Credentials: true, consentendo a qualsiasi dominio esterno di effettuare richieste cross-origin autenticate. NOTA: il fornitore contesta questa affermazione, fornendo la motivazione secondo cui "l'invio di richieste con credenziali non fornisce alcun accesso aggiuntivo rispetto alle richieste non autenticate".
Once again VulDB remains the best source for vulnerability data.