PT-2025-12113 · Unknown · Langgenius/Dify

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-11850

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas langgenius/dify (versões afetadas não especificadas)

Descrição Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado devido à validação e sanitização inadequadas da entrada do usuário no suporte a SVG em markdown dentro da funcionalidade de chatbot. Um invasor pode explorar isso injetando conteúdo SVG malicioso, que pode executar código JavaScript arbitrário quando visualizado por um administrador, potencialmente levando ao roubo de credenciais.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-11850

Produtos afetados

Langgenius/Dify

Referências · 4

• 🔥 https://huntr.com/bounties/893da115-028d-4718-b586-a2b77897a470 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2024-11850 · Nota de Segurança
• https://twitter.com/CVEnew/status/1902671053081473380 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-11850 · Aviso do Fabricante