PT-2026-57262 · Dify+2 · Dify+2
CVSS v3.1
8.8
عالية
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Dify السابقة للإصدار 1.16.0-rc1
الوصف
توجد مشكلة حقن SQL في الخلفية الخاصة بمخزن المتجهات MyScale. وتحدث هذه المشكلة عند تمرير معلمات بحث غير مُعقمة إلى الدالة
search by full text() دون إجراء عملية الهروب أو التحويل إلى معلمات بشكل صحيح. تسمح هذه الثغرة للمهاجمين بتنفيذ أوامر SQL عشوائية لقراءة البيانات أو تعديلها أو حذفها داخل قاعدة بيانات ClickHouse الأساسية.التوصيات
قم بتحديث Dify إلى الإصدار 1.16.0-rc1 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدالة
search by full text() في الخلفية الخاصة بمخزن المتجهات MyScale.استغلال
إصلاح
SQL injection
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Clickhouse
Dify
Myscale