CVE-2025-1796
Təsvir
langgenius/dify v0.10.1 versiyasındakı zəiflik, şifrənin sıfırlanma kodlarının yaradılması üçün istifadə olunan zəif psevdo-təsadüfi ədədlər generatorundan (PRNG) istifadə edərək hücumçunun administrator hesabları da daxil olmaqla hər hansı hesabı ələ keçirməsinə imkan verir. Tətbiq bu məqsəd üçün kriptoqrafik istifadəyə uyğun olmayan və sındırıla bilən `random.randint` funksiyasından istifadə edir. İş axışı (workflow) alətlərinə çıxışı olan hücumçu PRNG çıxışını əldə edə və gələcək şifrə sıfırlama kodlarını təxmin edə bilər ki, bu da tətbiqin tamamilə kompromis edilməsinə səbəb olar.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| langgenius dify | 0.10.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.