CVE-2025-63386

Błędna konfiguracja CORS w Dify — endpoint /console/api/setup

CVSS 9.1v3.1pub. 2025-12-18upd. 2026-02-11

W Dify v1.9.1 wykryto podatność polegającą na nieprawidłowej konfiguracji polityki Cross-Origin Resource Sharing (CORS) w endpoincie /console/api/setup. Podatność umożliwia dowolnym zewnętrznym domenom wysyłanie uwierzytelnionych żądań do tego endpointu, co może prowadzić do nieautoryzowanego dostępu do danych lub modyfikacji konfiguracji.

▸ Pokaż oryginał (EN)

A Cross-Origin Resource Sharing (CORS) misconfiguration vulnerability exists in Dify v1.9.1 in the /console/api/setup endpoint. The endpoint implements an insecure CORS policy that reflects any Origin header and enables Access-Control-Allow-Credentials: true, permitting arbitrary external domains to make authenticated requests. NOTE: the Supplier disputes this because the endpoint configuration is intentional to support bootstrap.

🤖 Analiza AI

Jak działa

Endpoint /console/api/setup odbija (reflektuje) dowolną wartość nagłówka Origin przekazaną przez klienta i jednocześnie zwraca nagłówek Access-Control-Allow-Credentials: true. Oznacza to, że przeglądarka ofiary zaakceptuje odpowiedź z dowolnej domeny kontrolowanej przez atakującego, dołączając do żądania ciasteczka sesyjne lub inne dane uwierzytelniające. Atakujący może w ten sposób nakłonić zalogowanego użytkownika do odwiedzenia złośliwej strony, która w tle wykona uwierzytelnione żądanie do endpointu. Producent kwestionuje zgłoszenie, wskazując, że taka konfiguracja jest zamierzona w celu obsługi procesu inicjalizacji (bootstrap).

Skutki

Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do poufnych danych (naruszenie poufności) oraz do modyfikacji konfiguracji aplikacji (naruszenie integralności) w kontekście uwierzytelnionej sesji ofiary.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (patrz pull request #32224 w repozytorium GitHub langgenius/dify). Zaleca się ograniczenie listy dozwolonych origins w konfiguracji CORS wyłącznie do zaufanych domen zamiast dynamicznego odbijania nagłówka Origin, a także rozważenie wyłączenia flagi Access-Control-Allow-Credentials dla endpointów dostępnych publicznie bez uwierzytelnienia.

Kogo dotyczy

Langgenius Dify v1.9.1 — endpoint /console/api/setup

Uwagi

Producent (Langgenius) kwestionuje klasyfikację tej podatności, twierdząc, że opisana konfiguracja CORS jest zamierzona i niezbędna do obsługi procesu bootstrap aplikacji. Odkrywca podatności to Cristliu (na podstawie referencji do gist.github.com/Cristliu). CWE-346 odnosi się do braku weryfikacji źródła pochodzenia żądania (Origin Validation Error).