CVE-2026-58141 in Dify
요약
\~에 의해 VulDB • 2026. 11. 06.
Dify 1.15.0 이전 버전에는 서버 사이드 리퀘스트 포지리(SSRF) 취약점이 포함되어 있습니다. 이 취약점은 Squid 프록시 구성이 소스 ACL만 정의하고 대상 차단 규칙을 포함하지 않으며, make_request() 헬퍼 함수가 독립적인 대상 IP 검증을 수행하지 않기 때문에 인증된 콘솔 사용자 누구나 SSRF 보호 장치를 우회하여 내부 서비스 및 클라우드 메타데이터 엔드포인트로 임의 HTTP 요청을 발행할 수 있게 합니다. 공격자는 GET /console/api/remote-files/<url>, POST /console/api/remote-files/upload, HTTP Request 워크플로우 노드, 웹사이트 크롤링 또는 URL에서 문서 가져오기 등의 엔드포인트를 사용하여 샌드박스, 내부 API 및 PostgreSQL과 같은 내부 구성 요소에 접근할 수 있으며, AWS 배포 환경에서는 인스턴스 메타데이터 서비스로부터 IAM 자격 증명을 읽을 수 있습니다. 또한 HTTP Request 노드는 네트워크 격리에 의존하여 권한 부여를 수행하는 내부 서비스에 대해 POST, PUT 및 DELETE 쓰기 작업을 추가로 가능하게 합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.