Vulnerabilidad en langgenius/dify (CVE-2025-3466)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

07/07/2025

Última modificación:

10/07/2025

Descripción

Las versiones 1.1.0 a 1.1.2 de langgenius/dify son vulnerables a la entrada no saneada en el nodo de código, lo que permite la ejecución de código arbitrario con permisos de root completos. La vulnerabilidad surge de la capacidad de anular funciones globales en JavaScript, como parseInt, antes de que se impongan las restricciones de seguridad del entorno de pruebas. Esto puede provocar acceso no autorizado a claves secretas, servidores de red internos y movimiento lateral dentro de dify.ai. El problema se ha resuelto en la versión 1.1.3.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.20 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto