-Lan-

**Nome do Software Vulnerável e Versões Afetadas** Dify versões anteriores a 1.14.2 **Descrição** Existe uma falha de bypass de autorização no endpoint de pré-visualização de arquivos, permitindo que qualquer usuário autenticado leia até 3.000 caracteres de qualquer documento carregado em todos os tenants e workspaces. Isso ocorre porque o sistema não verifica a propriedade ou as permissões do workspace quando o UUID de um arquivo é fornecido. Atacantes podem explorar isso acessando o endpoint '/console/api/files/{file id}/preview' utilizando um `file id` interceptado. Além disso, o Dify Cloud permite o auto-registro gratuito não autenticado, o que facilita a criação de contas para potenciais atacantes. **Recomendações** Atualize para a versão 1.14.2 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint '/console/api/files/{file id}/preview' para minimizar o risco de acesso não autorizado a documentos.