ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2025-67732

langgenius dify

Dify Vulnerable to Plaintext API Key Exposure via Model Provider Configuration Endpoint

CVSS 4.0
8.4بالا

شرح رسمی (انگلیسی)

Dify is an open-source LLM app development platform. Prior to version 1.11.0, the API key is exposed in plaintext to the frontend, allowing non-administrator users to view and reuse it. This can lead to unauthorized access to third-party services, potentially consuming limited quotas. Version 1.11.0 fixes the issue.

امتیازهای CVSS

امتیازنسخهمنبعبردار
8.4بالا 4.0 CVEProject cvelistV5 (CNA) (GitHub_M) CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:L/SA:L

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
langgenius dify < 1.11.0 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۱
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۴/۱۰/۱۶
آخرین به‌روزرسانی
۱۴۰۴/۱۰/۱۶
وضعیت
منتشرشده
صادرکننده (CNA)
GitHub_M

پیش‌بینی بهره‌برداری (EPSS)

۰٫۳۵٪
احتمال بهره‌برداری در ۳۰ روز
۲۹٫۳٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
خیر
وضعیت بهره‌برداری
ندارد
اثر فنی
جزئی

ضعف‌ها (CWE)

  • CWE-200
    Exposure of Sensitive Information to an Unauthorized Actor
  • CWE-522
    Insufficiently Protected Credentials