🇰🇷 한글 설명
Dify 1.14.0 미만 버전에서 인증된 사용자가 다른 사용자가 업로드한 파일의 UUID를 사용하여 해당 파일의 전체 내용을 읽을 수 있는 권한 우회 취약점이 존재합니다. 공격자는 chat-messages 엔드포인트의 불충분한 권한 검증을 악용하여 워크플로 처리를 통해 파일 소유권 확인 및 보안 URL 보호를 우회하고 민감한 파일에 접근할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람이 올린 파일의 고유 번호만 알면 그 내용을 몰래 훔쳐볼 수 있는 보안 결함입니다. 파일의 주인인지 확인하는 절차가 부족하여 발생하는 문제입니다.
🇺🇸 원문 (English)
Dify before version 1.14.0 contains an authorization bypass vulnerability that allows authenticated users to read the full contents of files uploaded by other users within the same tenant by supplying an arbitrary file UUID in the files array of a chat-messages request. Attackers can exploit insufficient permission verification in the chat-messages endpoints to access files without ownership validation, bypassing workspace separation and signed URL protections to retrieve sensitive file contents through workflow processing.
📍 영향받는 시스템
Dify 1.14.0 미만 모든 버전
⚔️ 공격 벡터
chat-messages 요청의 files 배열에 타인의 파일 UUID를 삽입하여 권한 없이 파일 접근
🛡️ 대응 방법
Dify를 최신 버전인 1.14.0 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.14.0 미만이면 취약한 상태이며, 1.14.0 이상이면 안전합니다.
curl -s http://<target-dify-url>/api/version | grep -E '1.14.0'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
LangGenius 제품 보안 업데이트 권고
P4
📅 2026-06-24 · sec_notice
LangGenius의 Dify 제품에서 권한 우회 및 경로 탐색 취약점이 발견되었습니다. 해당 제품의 구버전을 사용하는 사용자는 보안 업데이트를 통해 최신 버전(1.14.2 이상 또는 최신 소스 빌드)으로 업데이트해야 합니다.