PT-2025-17928 · Dify · Dify

H0J3N + 1 · Publicado 2025-04-25 · Atualizado 2025-08-01 · CVE-2025-43862

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas Versões do Dify anteriores à 0.6.12

Descrição O problema envolve uma falha de controle de acesso no Dify, uma plataforma de desenvolvimento de aplicativos de LLM de código aberto. Essa falha permite que usuários não administradores realizem acesso não autorizado e alterações nos aplicativos, mesmo que a interface web de orquestração de aplicativos não seja exibida para usuários comuns.

Recomendações Para versões anteriores à 0.6.12, atualize para a versão 0.6.12 para resolver o problema. Como contorno temporário, considere atualizar os mecanismos de controle de acesso para aplicar permissões de função de usuário mais rigorosas e implementar controles de acesso baseados em função (RBAC), garantindo que apenas usuários com privilégios de administrador possam acessar a Orquestração dos Aplicativos.

Exploit

Correção

LPE

Improper Access Control

Missing Authorization

Enumeração de Fraquezas

CWE-284

CWE-862

Identificadores relacionados

CVE-2025-43862

GHSA-6PW4-JQHV-3626

Produtos afetados

Dify

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/43xxx/CVE-2025-43862.json · Exploit
• https://github.com/langgenius/dify/security/advisories/GHSA-6pw4-jqhv-3626 · Aviso do Fabricante
• https://github.com/langgenius/dify/pull/5266 · Correção
• https://twitter.com/CVEnew/status/1915791438392250379 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-43862 · Nota de Segurança
• https://t.me/cveNotify/130628 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-43862 · Aviso do Fabricante
• https://t.me/cvedetector/23768 · Publicação no Telegram
• https://t.me/cvetracker/22383 · Publicação no Telegram
• https://t.me/latest_high_impact_cve/2198 · Publicação no Telegram