CVE-2026-41949 in dify
Сводка
по VulDB • 19.05.2026
В версиях Dify 1.14.1 и более ранних присутствует уязвимость обхода авторизации в конечной точке предварительного просмотра файлов, которая позволяет любому аутентифицированному пользователю читать до 3000 символов любого загруженного документа во всех арендаторах и рабочих пространствах, используя только UUID файла. Злоумышленники могут получить доступ к конечной точке /console/api/files/{file_id}/preview с перехваченным UUID файла, чтобы извлечь конфиденциальное содержимое из документов без проверки прав владения или доступа к рабочему пространству. ПРИМЕЧАНИЕ: Dify Cloud позволяет бесплатную саморегистрацию без аутентификации, что делает создание учетной записи тривиально доступным для любого злоумышленника.
If you want to get best quality of vulnerability data, you may have to visit VulDB.