PT-2026-41674 · Dify · Dify

Ido Shani + 1 · Publicado 2026-05-18 · Atualizado 2026-05-19 · CVE-2026-41947

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Dify versões anteriores a 1.14.1

Description Uma falha de bypass de autorização permite que usuários editores autenticados definam e habilitem configurações de rastreamento (trace) para qualquer aplicativo, independentemente da propriedade do tenant. Isso ocorre devido à ausência de verificações de propriedade do tenant nos endpoints de configuração de rastreamento, permitindo que atacantes redirecionem todas as mensagens e respostas de aplicativos vítimas para provedores de rastreamento de LLM sob seu controle. O Dify Cloud facilita isso ao permitir o auto-registro gratuito e não autenticado para a criação de contas.

Recommendations Atualize para uma versão posterior a 1.14.1.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-41947

Produtos afetados

Dify

Referências · 10

• 🔥 https://huntr.com/bounties/a43076b2-fbc8-4750-9647-89a036b52f52 · Exploit
• https://github.com/langgenius/dify/releases/tag/1.14.2 · Nota
• https://github.com/langgenius/dify/commit/55d05fe52de880cd8497df8cea052351c594fad8 · Correção
• https://github.com/langgenius/dify/pull/35793 · Correção
• https://twitter.com/VulmonFeeds/status/2056399695572881624 · Publicação no Twitter
• https://t.me/CVEtracker/54133 · Publicação no Telegram
• https://twitter.com/UpwindMDR/status/2056403788378853584 · Publicação no Twitter
• https://t.me/cveNotify/164093 · Publicação no Telegram
• https://vulncheck.com/advisories/dify-authorization-bypass-via-trace-configuration-endpoints · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41947 · Nota de Segurança