CVE-2025-3466

Nome do Software Vulnerável e Versões Afetadas: langgenius/dify versões 1.1.0 a 1.1.2

Descrição: O problema surge devido a entrada não sanitizada no nó de código, permitindo a execução de código arbitrário com permissões totais de root. Isso ocorre devido à capacidade de sobrescrever funções globais em JavaScript, como parseInt, antes que as restrições de segurança da sandbox sejam impostas. Isso pode levar ao acesso não autorizado a chaves secretas, servidores de rede internos e movimento lateral dentro do dify.ai.

Recomendações: Para as versões 1.1.0 a 1.1.2, atualize para a versão 1.1.3 para resolver o problema. Como medida de contorno temporária, considere restringir o acesso ao nó de código para minimizar o risco de exploração. Evite usar funções globais sobrescritas em JavaScript, como parseInt, até que o problema seja resolvido.