CVE-2026-41947
Açıklama
Dify'ın 1.14.2 sürümünden önceki sürümleri, kimliği doğrulanmış editör kullanıcılarının kiracı sahipliğine bakılmaksızın herhangi bir uygulama için izleme yapılandırmalarını ayarlamasına ve etkinleştirmesine olanak tanıyan bir kimlik doğrulama atlatma zafiyeti içermektedir. Saldırganlar, izleme yapılandırma uç noktalarındaki eksik kiracı sahipliği kontrollerini kullanarak mağdur uygulamalardan gelen tüm mesajları ve yanıtları kendi kontrol ettikleri LLM izleme sağlayıcılarına yönlendirebilirler. NOT: Dify Cloud, kimlik doğrulaması gerektirmeyen ücretsiz self-kayda izin vermektedir; bu da hesap oluşturmayı herhangi bir saldırgan için oldukça kolay hale getirmektedir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dify dify | v ≤ 1.14.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.