Vulnerabilidad en Dify (CVE-2025-32795)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-284 Control de acceso incorrecto

Fecha de publicación:

18/04/2025

Última modificación:

19/06/2025

Descripción

Dify es una plataforma de desarrollo de aplicaciones LLM de código abierto. Antes de la versión 0.6.12, se identificó una vulnerabilidad en DIFY que permitía a usuarios normales editar nombres, descripciones e iconos de aplicaciones sin autorización. Esta falla de control de acceso permite a usuarios sin privilegios de administrador modificar los detalles de la aplicación, a pesar de tener acceso restringido a ellas, lo que supone un riesgo para la seguridad de la aplicación. Este problema se ha corregido en la versión 0.6.12. Un workaround consiste en actualizar los mecanismos de control de acceso para aplicar permisos de rol de usuario más estrictos e implementar controles de acceso basados en roles (RBAC) para garantizar que solo los usuarios con privilegios de administrador puedan modificar los detalles de la aplicación.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno