CVE-2025-63388
KrytyczneStreszczenie
Podatność polegająca na błędnej konfiguracji CORS w Dify v1.9.1 w endpointcie /console/api/system-features. Endpoint odzwierciedla dowolne nagłówki Origin i ustawia Access-Control-Allow-Credentials: true, co pozwala zewnętrznym domenom na uwierzytelnione żądania międzyorigin. Uwaga: dostawca kwestionuje tę podatność, argumentując, że żądania z poświadczeniami nie dają dodatkowego dostępu w porównaniu z żądaniami nieuwierzytelnionymi.
Ocena ryzyka
Potencjalne ryzyko nieautoryzowanego dostępu do danych lub operacji w kontekście uwierzytelnionego użytkownika, jeśli atakujący wykorzysta CORS do przechwycenia sesji.
Rekomendacja
Zaleca się skonfigurowanie ścisłej polityki CORS, ograniczającej dozwolone originy i wyłączenie Access-Control-Allow-Credentials dla wrażliwych endpointów.
Oryginalny opis (angielski, źródło NVD)
A Cross-Origin Resource Sharing (CORS) misconfiguration vulnerability exists in Dify v1.9.1 in the /console/api/system-features endpoint. The endpoint implements an overly permissive CORS policy that reflects arbitrary Origin headers and sets Access-Control-Allow-Credentials: true, allowing any external domain to make authenticated cross-origin requests. NOTE: the Supplier disputes this, providing the rationale of "sending requests with credentials does not provide any additional access compared to unauthenticated requests."