CVE-2026-41949 in dify
Tóm tắt
Bởi VulDB • 22/05/2026
Dify phiên bản 1.14.1 và các phiên bản trước đó chứa một lỗ hổng bỏ qua xác thực (authorization bypass) trong điểm cuối (endpoint) xem trước tệp, cho phép bất kỳ người dùng đã xác thực nào đọc tới 3.000 ký tự của bất kỳ tài liệu nào đã tải lên trên tất cả các tenant và workspace chỉ bằng cách sử dụng UUID của tệp. Kẻ tấn công có thể truy cập vào điểm cuối /console/api/files/{file_id}/preview bằng cách sử dụng UUID tệp đã đánh cắp để trích xuất nội dung nhạy cảm từ các tài liệu mà không cần xác minh quyền sở hữu hoặc quyền truy cập vào workspace. LƯU Ý: Dify Cloud cho phép đăng ký miễn phí không cần xác thực, khiến việc tạo tài khoản trở nên dễ dàng tiếp cận đối với bất kỳ kẻ tấn công nào.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.