CVE-2026-41950 in dify
要約
〜によって VulDB • 2026年05月28日
Difyのバージョン1.14.0以前には、認証回避の脆弱性が存在します。攻撃者は、chat-messagesリクエストのfiles配列に任意のファイルUUIDを指定することで、同じテナント内にアップロードされた他のユーザーのファイルの完全な内容を読み取ることができます。攻撃者は、chat-messagesエンドポイントにおける不十分な権限検証を悪用し、所有権の検証をバイパスしてワークスペースの分離や署名付きURLの保護を回避し、ワークフロー処理を通じて機密性の高いファイルの内容にアクセスすることができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.