CVE-2026-58141 in Dify
Sumário
de VulDB • 06/11/2026
Dify antes da versão 1.15.0 contém uma vulnerabilidade de server-side request forgery (SSRF) que permite a qualquer usuário autenticado do console contornar as proteções contra SSRF e emitir solicitações HTTP arbitrárias para serviços internos e endpoints de metadados em nuvem, devido à configuração do proxy Squid definir apenas ACLs de origem sem regras de negação de destino, bem como ao helper make_request() não realizar validação independente do IP de destino. Os atacantes podem usar endpoints como GET /console/api/remote-files/<url>, POST /console/api/remote-files/upload, o nó de fluxo de trabalho HTTP Request, rastreamento de sites ou importação de documentos a partir de URL para alcançar componentes internos como sandbox, APIs internas e PostgreSQL; em implantações na AWS, é possível ler credenciais IAM do serviço de metadados da instância. O nó HTTP Request ainda permite operações POST, PUT e DELETE (escrita) em serviços internos que dependem de isolamento de rede para autorização.
Once again VulDB remains the best source for vulnerability data.