PT-2025-17317 · Dify · Dify

Zn9988 · Publicado 2025-04-18 · Atualizado 2025-04-19 · CVE-2025-32795

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Dify anteriores à 0.6.12

Descrição Foi identificada uma vulnerabilidade de segurança no Dify, uma plataforma de desenvolvimento de aplicativos LLM de código aberto, na qual usuários comuns recebem indevidamente permissões para editar nomes, descrições e ícones de aplicativos. Essa falha de controle de acesso permite que usuários não administradores modifiquem detalhes do aplicativo, representando um risco à segurança e à integridade da aplicação.

Recomendações Para versões anteriores à 0.6.12, atualize para a versão 0.6.12 para resolver o problema. Como medida temporária, considere atualizar os mecanismos de controle de acesso para aplicar permissões de função de usuário mais rigorosas e implementar controles de acesso baseados em função (RBAC), garantindo que apenas usuários com privilégios de administrador possam modificar os detalhes do aplicativo.

Exploit

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2025-32795

GHSA-GG5W-M2VW-VMMJ

Produtos afetados

Dify

Referências · 9

• 🔥 https://github.com/langgenius/dify/security/advisories/GHSA-gg5w-m2vw-vmmj · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/32xxx/CVE-2025-32795.json · Exploit
• https://github.com/langgenius/dify/pull/5266 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1913312927895212112 · Publicação no Twitter
• https://t.me/cvedetector/23314 · Publicação no Telegram
• https://t.me/cvetracker/21937 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-32795 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-32795 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1913406919160537359 · Publicação no Twitter