🇰🇷 한글 설명
Dify는 오픈소스 LLM 앱 개발 플랫폼입니다. 1.13.1 이전 버전에서는 `DELETE /console/api/installed-apps/<appId>/conversations/<conversationId>` 메서드의 권한 검사가 미흡하여, Dify에 인증된 모든 사용자가 다른 사용자의 채팅 기록을 삭제할 수 있습니다. 버전 1.13.1에서 이 문제가 패치되었습니다.
💡 쉬운 설명
Dify 플랫폼에 로그인한 사용자라면 다른 사람의 대화 기록을 지울 수 있는 취약점입니다. 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Dify is an open-source LLM app development platform. Prior to 1.13.1, the method `DELETE /console/api/installed-apps/<appId>/conversations/<conversationId>` has poor authorization checking and allows any Dify-authenticated user to delete someone else's chat history. Version 1.13.1 patches the issue.
📍 영향받는 시스템
Dify 1.13.1 이전 버전 (오픈소스 LLM 앱 개발 플랫폼)
⚔️ 공격 벡터
인증된 일반 사용자가 대상 appId와 conversationId를 지정해 DELETE 요청을 보내 타인의 채팅 기록을 삭제
🛡️ 대응 방법
Dify를 1.13.1 이상 버전으로 업그레이드
🔧 검증 코드
출력된 이미지 태그가 1.13.1 미만이면 취약, 1.13.1 이상이면 패치 적용된 것입니다. 태그가 없거나 다른 방식으로 설치한 경우 Dify 소스의 버전 파일을 직접 확인하세요.
docker images --format '{{.Repository}}:{{.Tag}}' | grep -i dify