CVE-2026-105761
Açıklama
Dify, açık kaynaklı bir LLM uygulama geliştirme platformudur. 1.16.0 sürümünden önce, api/controllers/console/app/mcp_server.py dosyasındaki PUT /console/api/apps/<app_id>/server uç noktası, sunucunun istenen uygulamaya ve kiracıya ait olduğunu doğrulamadan, istemci tarafından sağlanan sunucu kimliği ile bir AppMCPServer almak için AppMCPServerController.put() yöntemini kullanıyordu. Bu nedenle, kimliği doğrulanmış bir çalışma alanı üyesi, başka bir uygulamanın MCP sunucu durumunu ve parametrelerini değiştirerek potansiyel olarak verileri yönlendirebilir veya hizmeti devre dışı bırakabilirdi. Bu sorun 1.16.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langgenius dify | < 1.16.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.