🇰🇷 한글 설명
Dify 1.14.2 미만 버전의 파일 미리보기 엔드포인트에서 권한 우회 취약점이 발견되었습니다. 인증된 사용자가 파일의 UUID만 알면 소유권이나 워크스페이스 권한 없이도 모든 테넌트의 업로드된 문서 내용을 최대 3,000자까지 읽을 수 있습니다.
💡 쉬운 설명
로그인한 사용자라면 다른 사람이 올린 파일의 고유 번호만 알아내어 문서 내용을 몰래 훔쳐볼 수 있는 문제입니다. 특히 누구나 쉽게 계정을 만들 수 있어 위험도가 높습니다.
🇺🇸 원문 (English)
Dify before version 1.14.2 contains an authorization bypass vulnerability in the file preview endpoint that allows any authenticated user to read up to 3,000 characters of any uploaded document across all tenants and workspaces using only the file's UUID. Attackers can access the /console/api/files/{file_id}/preview endpoint with an intercepted file UUID to extract sensitive content from documents without ownership or workspace permission verification. NOTE: Dify Cloud allows unauthenticated free self-registration, making account creation trivially accessible to any attacker.
📍 영향받는 시스템
Dify version < 1.14.2
⚔️ 공격 벡터
/console/api/files/{file_id}/preview 엔드포인트에 탈취한 파일 UUID를 사용하여 직접 요청
🛡️ 대응 방법
Dify를 최신 버전인 1.14.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력 결과에 1.14.2 이상의 버전 정보가 포함되어 있는지 확인하십시오.
curl -s http://<dify-host>/version | grep -E '1.14.2'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
LangGenius 제품 보안 업데이트 권고
P4
📅 2026-06-24 · sec_notice
LangGenius의 Dify 제품에서 권한 우회 및 경로 탐색 취약점이 발견되었습니다. 해당 제품의 구버전을 사용하는 사용자는 보안 업데이트를 통해 최신 버전(1.14.2 이상 또는 최신 소스 빌드)으로 업데이트해야 합니다.