CVE-2025-63387

Dify, platforma do tworzenia aplikacji LLM, przed wersją 1.16.0, w punkcie końcowym PUT /console/api/apps/<app_id>/server, nie weryfikowała, czy serwer MCP należy do żądanej aplikacji i dzierżawcy. Uwierzytelniony członek przestrzeni roboczej mógł zmienić status i parametry serwera MCP innej aplikacji, potencjalnie przekierowując dane lub wyłączając usługę.

Wersja 1.14.1 i wcześniejsze Dify zawierają podatność na przejście ścieżki, która pozwala uwierzytelnionym użytkownikom manipulować żądaniami kierowanymi do wewnętrznego API REST Plugin Daemon. Atakujący mogą wykorzystać niewystarczające oczyszczanie ścieżek URL, aby uzyskać dostęp do wewnętrznych punktów końcowych.

Dify przed wersją 1.14.2 zawiera lukę w autoryzacji, która pozwala uwierzytelnionym użytkownikom edytorów na ustawianie i włączanie konfiguracji śledzenia dla dowolnej aplikacji, niezależnie od własności najemcy. Luka ta umożliwia atakującym przekierowanie wszystkich wiadomości i odpowiedzi z aplikacji ofiary do kontrolowanych przez nich dostawców śledzenia LLM.

W Dify do wersji 1.5.1 w pliku docker-compose.yaml znajdują się domyślne dane uwierzytelniające do bazy PostgreSQL (nazwa użytkownika i hasło). Producent informuje, że od wersji 1.0.1 PostgreSQL nie jest domyślnie wystawiony na TCP porcie 5432.

Podatność polegająca na błędnej konfiguracji CORS w Dify v1.9.1 w endpointcie /console/api/system-features. Endpoint odzwierciedla dowolne nagłówki Origin i ustawia Access-Control-Allow-Credentials: true, co pozwala zewnętrznym domenom na uwierzytelnione żądania międzyorigin. Uwaga: dostawca kwestionuje tę podatność, argumentując, że żądania z poświadczeniami nie dają dodatkowego dostępu w porównaniu z żądaniami nieuwierzytelnionymi.

Luka bezpieczeństwa w langgenius dify do wersji 1.14.2 włącznie, dotycząca funkcji jinja2.Template w pliku api/core/helper/code_executor/jinja2/jinja2_transformer.py w komponencie Jinja2 Handler, prowadzi do nieprawidłowej neutralizacji specjalnych elementów używanych w silniku szablonów. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność Open Redirect w Dify AI Workflow w komponencie AppInitializer. Atakujący może przekierować użytkownika na złośliwą stronę podczas przepływu OAuth, co wymaga interakcji ofiary (odwiedzenia złośliwej strony lub pliku).

Podatność SQL injection w Dify przed wersją 1.16.0-rc1 w backendzie wektorowego magazynu MyScale umożliwia atakującym wykonanie dowolnych zapytań SQL poprzez nieoczyszczone parametry wyszukiwania przekazane do metody search_by_full_text. Brak walidacji i parametryzacji pozwala na wstrzyknięcie złośliwego kodu SQL, co może prowadzić do odczytu, modyfikacji lub usunięcia danych w bazie ClickHouse.

Dify przed wersją 1.14.2 zawiera lukę w autoryzacji w punkcie końcowym podglądu plików, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczytanie do 3,000 znaków z dowolnego przesłanego dokumentu, używając jedynie UUID pliku. Atakujący mogą uzyskać dostęp do końcowego punktu /console/api/files/{file_id}/preview, aby wydobyć wrażliwe treści z dokumentów bez weryfikacji własności lub uprawnień do przestrzeni roboczej.

Dify przed wersją 1.14.0 zawiera podatność na obejście autoryzacji, umożliwiającą uwierzytelnionym użytkownikom odczyt pełnej treści plików przesłanych przez innych użytkowników w tym samym tenantcie poprzez podanie dowolnego UUID pliku w żądaniu chat-messages.