CVE-2026-41948

CVE-2026-41948 betrifft Dify Version 1.14.1 und älter und ist eine Path Traversal Schwachstelle. Authentifizierte Benutzer können durch unzureichende URL-Pfad-Bereinigung Anfragen an die interne REST-API des Plugin Daemons manipulieren. Dies ermöglicht Angreifern, ihren autorisierten Tenant-Pfad zu verlassen und auf interne Endpunkte wie Debug-Schnittstellen zuzugreifen, wobei lediglich die UUID des Ziel-Tenants bekannt sein muss. Die Dify Cloud ermöglicht zudem eine unauthentifizierte, kostenlose Selbstregistrierung, was die Kontoerstellung für Angreifer trivial macht.

Die Schwachstelle wird mit einem CVSS-Score von 9.4 als KRITISCH eingestuft. Die Exploit-Wahrscheinlichkeit (EPSS) liegt bei 7%, was auf eine moderate, aber nicht zu vernachlässigende Wahrscheinlichkeit einer Ausnutzung hindeutet. Sie ist derzeit nicht im CISA KEV Katalog gelistet, was bedeutet, dass keine aktive Ausnutzung in freier Wildbahn bekannt ist.

Security-Teams sollten Dify-Installationen umgehend auf die betroffenen Versionen überprüfen. Eine Priorisierung der Behebung ist aufgrund des kritischen CVSS-Scores und der einfachen Kontoerstellung in der Cloud-Version dringend empfohlen. Es wird empfohlen, die Systeme zu patchen, sobald eine behobene Version verfügbar ist, und die Umgebung auf ungewöhnliche Aktivitäten zu überwachen.