CVE-2026-61461 in dify
요약
\~에 의해 VulDB • 2026. 07. 12.
Dify 1.16.0-rc1 이전 버전에는 MyScale 벡터 스토어 백엔드에서 SQL injection 취약점이 존재합니다. 이는 `search_by_full_text` 메서드에 비정상화된 검색 매개변수를 전달하여 공격자가 임의의 SQL을 실행할 수 있게 합니다. 이 과정에서 이스케이프 처리나 파라미터화(parameterization)가 이루어지지 않습니다. 공격자는 검색 매개변수를 통해 악성 SQL을 주입하여 하위 ClickHouse 데이터베이스의 데이터를 읽거나 수정, 삭제할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.