PT-2026-41676 · Dify · Dify

-Lan- + 2 · Publicado 2026-05-18 · Atualizado 2026-05-18 · CVE-2026-41949

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Dify versões anteriores a 1.14.1

Descrição Existe uma falha de bypass de autorização no endpoint de pré-visualização de arquivos, permitindo que qualquer usuário autenticado leia até 3.000 caracteres de qualquer documento carregado em todos os locatários (tenants) e espaços de trabalho. Um invasor pode usar um UUID de arquivo interceptado para acessar o endpoint "/console/api/files/{file id}/preview" e extrair conteúdo sensível sem a verificação de propriedade ou permissão do espaço de trabalho. O Dify Cloud facilita isso ao permitir o auto-registro gratuito não autenticado, tornando a criação de contas facilmente acessível.

Recomendações Atualize para uma versão posterior à 1.14.1. Como medida paliativa temporária, restrinja o acesso ao endpoint "/console/api/files/{file id}/preview" para minimizar o risco de acesso não autorizado a documentos.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-41949

Produtos afetados

Dify

Referências · 8

• 🔥 https://huntr.com/bounties/d50a0240-7951-4939-b989-9bded66c7682 · Exploit
• https://github.com/langgenius/dify/releases/tag/1.14.2 · Nota
• https://github.com/langgenius/dify/commit/432a6412a3fdb30ce48003d699b90cc7d890df20 · Correção
• https://github.com/langgenius/dify/pull/35797 · Correção
• https://twitter.com/VulmonFeeds/status/2056397135612903643 · Publicação no Twitter
• https://vulncheck.com/advisories/dify-authorization-bypass-via-file-preview-endpoint · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41949 · Nota de Segurança
• https://t.me/CVEtracker/54135 · Publicação no Telegram