CVE-2025-56157

Domyślne dane uwierzytelniające PostgreSQL w Langgenius Dify

CVSS 9.8v3.1pub. 2025-12-18upd. 2026-07-05

W aplikacji Dify (do wersji 1.5.1 włącznie) plik docker-compose.yaml zawarty w kodzie źródłowym zawiera zakodowane na stałe domyślne dane uwierzytelniające do bazy danych PostgreSQL. Podatność może umożliwić nieuwierzytelnionemu atakującemu uzyskanie pełnego dostępu do bazy danych, jeśli port 5432 jest dostępny z zewnątrz.

▸ Pokaż oryginał (EN)

Default credentials in Dify thru 1.5.1. PostgreSQL username and password specified in the docker-compose.yaml file included in its source code. NOTE: the Supplier reports that the Docker configuration does not make PostgreSQL (on TCP port 5432) exposed by default in version 1.0.1 or later.

🤖 Analiza AI

Jak działa

Dane logowania do PostgreSQL (nazwa użytkownika i hasło) są zapisane w postaci jawnego tekstu w pliku docker-compose.yaml, który jest publicznie dostępny w repozytorium kodu źródłowego. Atakujący, który zna te domyślne poświadczenia, może próbować połączyć się bezpośrednio z instancją PostgreSQL. Dostawca informuje, że od wersji 1.0.1 konfiguracja Docker domyślnie nie eksponuje portu TCP 5432 na zewnątrz, co ogranicza zasięg podatności w nowszych konfiguracjach.

Skutki

Atakujący z dostępem do portu PostgreSQL może uzyskać pełną kontrolę nad bazą danych aplikacji, co prowadzi do poufności, integralności i dostępności przechowywanych danych — w tym potencjalnie danych użytkowników, kluczy API i konfiguracji systemu.

Mitygacja

Należy niezwłocznie zmienić domyślne dane uwierzytelniające PostgreSQL na silne, unikalne hasła. Należy upewnić się, że port 5432 nie jest eksponowany publicznie — zgodnie z informacją producenta, wersja 1.0.1 i nowsze domyślnie nie udostępniają tego portu na zewnątrz. Należy zastosować patche dostępne u producenta zgodnie z referencjami oraz zweryfikować konfigurację docker-compose.yaml pod kątem wszelkich zakodowanych na stałe poświadczeń.

Kogo dotyczy

Langgenius Dify w wersjach do 1.5.1 włącznie, szczególnie instalacje oparte na docker-compose, w których port PostgreSQL (TCP 5432) jest dostępny z sieci zewnętrznej.

Uwagi

Producent (Supplier) potwierdził, że od wersji 1.0.1 PostgreSQL nie jest domyślnie eksponowany na porcie TCP 5432, co ogranicza ryzyko w przypadku standardowych wdrożeń. Podatność dotyczy głównie instalacji ze zmodyfikowaną konfiguracją sieciową lub starszych wdrożeń. Dowód koncepcji (proof of concept) jest publicznie dostępny w serwisie GitHub Gist.