CVE-2026-41947

Nome do Software Vulnerável e Versões Afetadas Dify versões anteriores a 1.14.2

Description Uma falha de bypass de autorização permite que usuários editores autenticados definam e habilitem configurações de rastreamento (trace) para qualquer aplicativo, independentemente da propriedade do locatário (tenant). Isso ocorre devido à ausência de verificações de propriedade do locatário nos endpoints de configuração de rastreamento, permitindo que atacantes redirecionem todas as mensagens e respostas de aplicativos vítimas para provedores de rastreamento de LLM controlados pelo atacante. O Dify Cloud facilita isso ao permitir o auto-registro gratuito e não autenticado para a criação de contas.

Recommendations Atualize para a versão 1.14.2 ou posterior.