Khanmarshai

Dify before 1.15.0 contains a server-side request forgery vulnerability that allows any authenticated console user to bypass SSRF protections and issue arbitrary HTTP requests to internal services and cloud metadata endpoints due to the Squid proxy configuration only defining source ACLs without destination deny rules and the make request() helper performing no independent destination IP validation. Attackers can use endpoints such as GET /console/api/remote-files/<url>, POST /console/api/remote-files/upload, the HTTP Request workflow node, website crawl, or document import from URL to reach internal components like the sandbox, internal APIs, and PostgreSQL, and on AWS deployments read IAM credentials from the instance metadata service, with the HTTP Request node further enabling POST, PUT, and DELETE writes to internal services relying on network isolation for authorization.

يوجد ثغرة حقن SQL تتطلب مصادقة في وحدة Syndromic Surveillance. يمكن للمستخدمين الذين لديهم صلاحيات بمستوى Clinician قراءة وتعديل محتويات قاعدة البيانات التعسفية عن طريق إرسال قيم مصممة خصيصاً إلى معامل POST `form icd codes[]` في نقطة النهاية 'syndromicsurveillance/index'. تسمح هذه المشكلة باستخدام جملة IN() رقمية غير مقتبسة وجملة UNION DISTINCT SELECT باستخدام قيم حرفية مشفرة بنظام hex لإساءة استخدام دالة `extractvalue()` في MySQL لاستخراج هاشات كلمات مرور bcrypt بناءً على الأخطاء. بالإضافة إلى ذلك، يمكن تنفيذ استعلامات متراكمة لإعادة تعيين كلمات المرور، مما يؤدي إلى الاستيلاء الكامل على الحساب الإداري.

Stored cross-site scripting (XSS) exists in the Feature, Feature Link, Hero Image, and Image blocks. The issue occurs because the external link URL is insufficiently validated by the link filter and rendered without output escaping. A user with page-editing permissions can store a crafted external link value to inject arbitrary JavaScript. This script executes in the browser session of any user who views, previews, or edits the affected page, potentially leading to session hijacking and full administrative takeover.

توجد مشكلة تتعلق بتزوير عناوين IP تتيح للمهاجمين عن بُعد غير المصادق عليهم تجاوز ضوابط تحديد معدل الاستخدام على المثيلات المستضافة ذاتيًا. من خلال التلاعب برأس `X-Forwarded-For` عبر إعدادات Nginx غير صحيحة، يمكن للمهاجمين استخدام التوجيه `$proxy add x forwarded for` لإضافة قيم عشوائية إلى سلسلة الرؤوس وتقديم عنوان IP مزيف.

يمكن لمستخدم ذي امتيازات منخفضة يتمتع بأذونات إنشاء الصفحات تنفيذ هجوم «التنفيذ البرمجي عبر المواقع» (XSS) المخزّن عن طريق إدخال عنصر `svg`. يحدث هذا لأن مرشح XSS في الدالة `detectXss()` يستخدم تعبيرًا عاديًا لـ `on events` يفشل في اكتشاف معالجات الأحداث غير الموضوعة بين علامتي اقتباس. توجد المشكلة في الملف `system/src/Grav/Common/Security.php` وتؤثر على نقطة النهاية ’admin/pages/<page>‘. يمكن استغلال هذا الثغرة XSS لتسريب معلومات حساسة عن النظام من نقطة النهاية ’/admin/config/info‘ عند زيارتها من قبل «المسؤول الأعلى». يمكن للمهاجم التقاط قيمة `admin nonce`، والتي قد تُستخدم لتجاوز إجراءات الحماية من CSRF (التزوير عبر طلبات العميل)، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) والسيطرة الكاملة على الخادم.