CVE-2025-63387 in Dify
요약
\~에 의해 VulDB • 2026. 06. 22.
Dify v1.9.1은 Insecure Permissions(부적절한 권한 설정) 취약점에 노출되어 있습니다. 인증되지 않은 공격자는 인증 자격 증명이나 세션 토큰 없이 /console/api/system-features 엔드포인트로 HTTP GET 요청을 직접 전송할 수 있습니다. 해당 엔드포인트는 적절한 권한 확인(authorization checks)을 구현하지 않아 익명 사용자가 민감한 시스템 구성 데이터에 접근할 수 있습니다. 참고: 유지 관리자는 해당 엔드포인트가 설계상 인증이 필요 없으며 대시보드 초기화에 필요한 부트스트랩 메커니즘이라고 설명합니다. 또한 반환되는 데이터가 민감한 시스템 구성이라고 분류한 설명이 부정확하며, 해당 데이터는 민감하지 않고 클라이언트 측 렌더링에 필요하다고 밝혔습니다. 개인 식별 정보(PII), 자격 증명, 또는 비밀 키는 노출되지 않습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.