🇰🇷 한글 설명
Dify는 오픈소스 LLM 애플리케이션 개발 플랫폼입니다. 1.11.0 미만 버전에서는 API 키가 프론트엔드에 평문으로 노출되어, 관리자가 아닌 사용자도 이를 확인하고 재사용할 수 있습니다. 이로 인해 제3자 서비스에 대한 무단 액세스가 발생하고 할당된 쿼터가 소모될 수 있습니다.
💡 쉬운 설명
서비스를 이용하는 일반 사용자가 관리자의 비밀 열쇠(API 키)를 몰래 볼 수 있는 보안 결함입니다. 이 열쇠를 훔쳐 쓰면 관리자의 비용이나 권한을 마음대로 사용할 위험이 있습니다.
🇺🇸 원문 (English)
Dify is an open-source LLM app development platform. Prior to version 1.11.0, the API key is exposed in plaintext to the frontend, allowing non-administrator users to view and reuse it. This can lead to unauthorized access to third-party services, potentially consuming limited quotas. Version 1.11.0 fixes the issue.
📍 영향받는 시스템
Dify 1.11.0 미만 모든 버전
⚔️ 공격 벡터
프론트엔드 네트워크 트래픽 분석을 통한 API 키 평문 탈취
🛡️ 대응 방법
Dify를 최신 버전인 1.11.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.11.0 미만이면 취약한 상태이며, 1.11.0 이상이면 안전합니다.
curl -s http://<dify-host>/version | grep -E '"version": "[0-1]\.[0-9]\.'