PT-2025-17294 · Dify · Dify

H0J3N + 1 · Publicado 2025-04-18 · Atualizado 2025-04-18 · CVE-2025-32790

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Versões do Dify 0.6.8 e anteriores

Descrição Uma vulnerabilidade foi identificada no DIFY AI onde usuários comuns recebem indevidamente permissões para exportar o DSL do aplicativo. A funcionalidade em "/export" deveria permitir apenas que usuários administradores exportem o DSL.

Recomendações Para as versões 0.6.8 e anteriores, atualize os mecanismos de controle de acesso para aplicar permissões de função de usuário mais rigorosas e implementar controles de acesso baseados em função (RBAC) para garantir que apenas usuários com privilégios de administrador possam exportar o DSL do aplicativo. Atualize para a versão 0.6.13 para corrigir a vulnerabilidade.

Exploit

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2025-32790

GHSA-JP6M-V4GW-5VGP

Produtos afetados

Dify

Referências · 9

• 🔥 https://github.com/langgenius/dify/security/advisories/GHSA-jp6m-v4gw-5vgp · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/32xxx/CVE-2025-32790.json · Exploit
• https://github.com/langgenius/dify/commit/59ad091e69736bc9dc1a3bace62ec0a232346246 · Correção
• https://github.com/langgenius/dify/pull/5841 · Aviso do Fabricante
• https://t.me/cvetracker/21921 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1913312947742671294 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-32790 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-32790 · Nota de Segurança
• https://t.me/cvedetector/23325 · Publicação no Telegram