CVE-2026-105762
Beschrijving NL
Dify is een open-source LLM-app-ontwikkelingsplatform. Voor 1.13.0 accepteerde het /console/api/remote-files/upload endpoint in api/controllers/web/remote_files.py een door de aanvaller gecontroleerde URL zonder authenticatie en zorgde ervoor dat de Dify-server deze ophaalde. Een externe aanvaller kan het eindpunt gebruiken om verzoeken naar interne services of cloud-metadata-eindpunten te verzenden, waardoor mogelijk gevoelige gegevens worden blootgelegd en de server als een netwerkspil wordt gebruikt. Dit probleem is opgelost in versie 1.13.0.
Origineel (Engels) tonen
Dify is an open-source LLM app development platform. Prior to 1.13.0, the /console/api/remote-files/upload endpoint in api/controllers/web/remote_files.py accepted an attacker-controlled URL without authentication and caused the Dify server to retrieve it. A remote attacker could use the endpoint to send requests to internal services or cloud metadata endpoints, potentially exposing sensitive data and using the server as a network pivot. This issue is fixed in version 1.13.0.