PT-2025-25765 · Dify · Dify

Mia0A-Hi · Publicado 2025-06-17 · Atualizado 2025-08-01 · CVE-2025-49149

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Dify versão 1.2.0

Descrição O Dify é uma plataforma de desenvolvimento de aplicações LLM de código aberto. Nesta plataforma, há filtragem insuficiente da entrada do usuário pelas aplicações web, o que permite que atacantes injetem código de script malicioso em páginas web. Isso pode resultar em um ataque de cross-site scripting (XSS) quando um usuário navega por essas páginas web.

Recomendações Para a versão 1.2.0, como uma solução temporária (workaround), considere implementar validação e sanitização de entrada adicionais para prevenir a injeção de scripts maliciosos até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-49149

GHSA-GRMH-WW4V-5CGJ

Produtos afetados

Dify

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/49xxx/CVE-2025-49149.json · Exploit
• https://github.com/langgenius/dify/security/advisories/GHSA-grmh-ww4v-5cgj · Aviso do Fabricante
• https://t.me/cveNotify/130631 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-49149 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-49149 · Nota de Segurança
• https://t.me/cvetracker/26474 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1935142817916956728 · Publicação no Twitter
• https://t.me/cvenotify/126035 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1935108342814490940 · Publicação no Twitter