CVE-2025-1796

Nome do Software Vulnerável e Versões Afetadas langgenius/dify versão 0.10.1

Descrição Uma fraqueza no gerador de números pseudo-aleatórios (PRNG) utilizado para gerar códigos de redefinição de senha permite que um invasor assuma o controle de qualquer conta, incluindo contas de administrador. A aplicação utiliza random.randint para este fim, o que não é adequado para uso criptográfico e pode ser quebrado. Um invasor com acesso às ferramentas de workflow pode extrair a saída do PRNG e prever futuros códigos de redefinição de senha, levando a um comprometimento completo da aplicação.

Recomendações Para a versão 0.10.1, considere desativar a funcionalidade de redefinição de senha até que um patch esteja disponível para corrigir o problema do PRNG fraco. Restrinja o acesso às ferramentas de workflow para minimizar o risco de exploração. Evite utilizar a função random.randint para fins criptográficos, como a geração de códigos de redefinição de senha, até que uma alternativa segura seja implementada.