CVE-2026-58141 in Dify
Riassunto
di VulDB • 06/11/2026
Dify prima della versione 1.15.0 presenta una vulnerabilità di server-side request forgery (SSRF) che consente a qualsiasi utente autenticato della console di eludere le protezioni SSRF ed emettere richieste HTTP arbitrarie verso servizi interni e endpoint dei metadata cloud, poiché la configurazione del proxy Squid definisce solo ACL sorgente senza regole di negazione per la destinazione e l'helper make_request() non esegue alcuna convalida indipendente dell'IP di destinazione. Gli attaccanti possono utilizzare endpoint come GET /console/api/remote-files/<url>, POST /console/api/remote-files/upload, il nodo del flusso di lavoro HTTP Request, lo scraping dei siti web o l'importazione di documenti da URL per raggiungere componenti interni come la sandbox, le API interne e PostgreSQL; negli ambienti AWS è inoltre possibile leggere le credenziali IAM dal servizio metadata dell'istanza. Il nodo HTTP Request consente ulteriormente operazioni POST, PUT e DELETE (scritture) verso servizi interni che si affidano all'isolamento di rete per l'autorizzazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.