PT-2025-16259 · Dify · Dify

Uzjuo · Publicado 2025-04-14 · Atualizado 2025-10-07 · CVE-2025-29720

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas: Dify versão 1.0

Descrição: O problema está relacionado a uma Falsificação de Solicitação do Lado do Servidor (SSRF) através do componente controllers.console.remote files.RemoteFileUploadApi. Isso permite potencial acesso não autorizado a recursos internos.

Recomendações: Para a versão 1.0 do Dify, considere desabilitar o componente RemoteFileUploadApi até que um patch esteja disponível para prevenir potenciais ataques SSRF. Restrinja o acesso ao módulo controllers.console.remote files para minimizar o risco de exploração. Evite utilizar o endpoint RemoteFileUploadApi até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2025-29720

Produtos afetados

Dify

Referências · 12

• https://github.com/langgenius/dify/issues/15185 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-29720 · Aviso do Fabricante
• https://twitter.com/Carlos_LopezMkt/status/1912432583045956079 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1911830338747199719 · Publicação no Twitter
• https://dify.ai · Nota
• https://twitter.com/cybercronai/status/1912431276105023934 · Publicação no Twitter
• https://t.me/cvetracker/21556 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-29720 · Nota de Segurança
• https://t.me/cveNotify/137632 · Publicação no Telegram
• https://t.me/CVEtracker/33746 · Publicação no Telegram
• https://t.me/cvedetector/22883 · Publicação no Telegram
• https://t.me/cvenotify/126057 · Publicação no Telegram