PT-2025-12301 · Unknown+1 · Langgenius/Dify+1

Johnjyong · Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2025-0184

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas langgenius/dify versão 0.10.2

Descrição Uma vulnerabilidade de Falsificação de Solicitação do Lado do Servidor (SSRF) foi identificada na seção 'Create Knowledge' durante o upload de arquivos DOCX. Se houver um relacionamento externo no arquivo DOCX, o valor reltype é requisitado como uma URL utilizando o módulo requests em vez do ssrf proxy, o que resulta em uma vulnerabilidade SSRF.

Recomendações Para a versão 0.10.2, atualize para a versão 0.11.0 para corrigir o problema. Como medida temporária, considere restringir o upload de arquivos DOCX com relacionamentos externos ou desativar a seção 'Create Knowledge' até que a atualização seja aplicada.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2025-0184

Produtos afetados

Langgenius/Dify

Requests

Referências · 7

• 🔥 https://huntr.com/bounties/a7eac4ae-5d5e-4ac1-894b-7a8cce5cba9b · Exploit
• https://github.com/langgenius/dify/commit/c135ec4b08d946a1a1d3a198a1d72c1ccf47250f · Correção
• https://t.me/cvetracker/19506 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-0184 · Aviso do Fabricante
• https://t.me/cvedetector/20726 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-0184 · Nota de Segurança
• https://twitter.com/CVEnew/status/1902670960177603070 · Publicação no Twitter