Khanmarshai

Dify before 1.15.0 contains a server-side request forgery vulnerability that allows any authenticated console user to bypass SSRF protections and issue arbitrary HTTP requests to internal services and cloud metadata endpoints due to the Squid proxy configuration only defining source ACLs without destination deny rules and the make request() helper performing no independent destination IP validation. Attackers can use endpoints such as GET /console/api/remote-files/<url>, POST /console/api/remote-files/upload, the HTTP Request workflow node, website crawl, or document import from URL to reach internal components like the sandbox, internal APIs, and PostgreSQL, and on AWS deployments read IAM credentials from the instance metadata service, with the HTTP Request node further enabling POST, PUT, and DELETE writes to internal services relying on network isolation for authorization.

Uma injeção de SQL autenticada existe no módulo Syndromic Surveillance. Usuários com privilégios de nível Clinician podem ler e modificar conteúdos arbitrários do banco de dados ao enviar valores manipulados para o parâmetro POST `form icd codes[]` no endpoint 'syndromicsurveillance/index'. O problema permite o uso de uma cláusula IN() numérica não citada e uma instrução UNION DISTINCT SELECT com literais codificados em hex para abusar da função `extractvalue()` do MySQL para exfiltração baseada em erro de hashes de senha bcrypt. Além disso, consultas empilhadas podem ser executadas para redefinir senhas, resultando no controle total da conta administrativa.

Existe um cross-site scripting (XSS) armazenado nos blocos Feature, Feature Link, Hero Image e Image. O problema ocorre porque a URL do link externo é insuficientemente validada pelo filtro de links e renderizada sem a devida filtragem de saída. Um usuário com permissões de edição de página pode armazenar um valor de link externo manipulado para injetar JavaScript arbitrário. Esse script é executado na sessão do navegador de qualquer usuário que visualize, pré-visualize ou edite a página afetada, podendo levar ao sequestro de sessão e ao controle administrativo total.

Existe um problema de spoofing de IP que permite que atacantes remotos não autenticados ignorem os controles de limitação de taxa (rate-limiting) em instâncias auto-hospedadas. Ao manipular o cabeçalho `X-Forwarded-For` por meio de uma configuração incorreta do Nginx, os atacantes podem usar a diretiva `$proxy add x forwarded for` para anexar valores arbitrários à cadeia de cabeçalhos e apresentar um endereço IP falso.

Um usuário de baixo privilégio com permissões para criar páginas pode realizar Cross-Site Scripting (XSS) armazenado ao injetar um elemento `svg`. Isso ocorre porque o filtro de XSS na função `detectXss()` utiliza uma expressão regular para `on events` que não detecta manipuladores de eventos não citados. O problema está localizado no arquivo `system/src/Grav/Common/Security.php` e afeta o endpoint 'admin/pages/<page>'. Este XSS pode ser escalado para exfiltrar informações sensíveis do sistema do endpoint '/admin/config/info' quando visitado por um Super Administrador. Um invasor pode capturar o `admin nonce`, que pode ser usado para ignorar proteções CSRF e potencialmente levar à Execução Remota de Código (RCE) e ao comprometimento total do servidor.