Dify漏洞可致攻击者跨租户窃听AI数据，超百万应用受影响

Dify平台存在的多个高危漏洞可能导致敏感AI数据在租户间泄露，潜在影响超过100万个应用程序。该平台为AI工作流、聊天机器人和检索增强生成（RAG）管道提供支持，已被沃尔沃、马士基、松下和赛默飞世尔等众多企业广泛采用。

Part01

跨租户数据泄露风险

研究团队发现四个安全漏洞，其中包含两个关键漏洞（CVE-2026-41947，CVSS 9.1）和（CVE-2026-41948，CVSS 9.4）。其中三个漏洞可导致Dify多租户云部署环境遭受跨租户攻击，使攻击者能够访问其他客户的数据。

最严重的漏洞允许攻击者在未经租户验证的情况下，直接配置受害者应用程序的追踪功能。利用此漏洞，攻击者可完整获取包括用户提问和模型响应在内的全部聊天记录，从而建立持久的数据外泄通道。

Part02

插件守护进程漏洞

另一个关键漏洞影响Dify的Plugin Daemon服务。由于输入处理不当，攻击者可通过精心构造的GET和POST请求利用路径遍历漏洞访问内部API。值得注意的是，这些端点无需身份验证，极大提高了漏洞利用风险。

Part03

文件处理机制缺陷

漏洞还影响Dify的文件处理机制，研究人员发现攻击者能够：

• 未经授权预览其他租户上传的文档
• 仅凭文件UUID即可访问PDF和图像等敏感文件
• 将现有文件标识符附加至新消息，诱骗AI模型泄露文件内容

这些漏洞源于薄弱的权限执行和间接访问控制模型，导致跨租户及租户内部数据泄露风险并存。

Part04

过时组件遗留风险

除逻辑缺陷外，Dify被发现使用存在CVE-2024-5846（释放后重用漏洞）的旧版PDFium组件。该漏洞在披露后仍存在于生产环境长达18个月，攻击者可能通过上传恶意PDF文件实施利用。这暴露出AI平台在处理不可信文件格式时普遍存在的沙箱隔离和依赖管理不足问题。

Part05

修复与缓解措施

Dify已发布1.14.2版本修复（CVE-2026-41947）、（CVE-2026-41949）和（CVE-2026-41950），针对（CVE-2026-41948）的补丁已合并并将于后续版本发布。安全团队应立即升级至最新版本，部署WAF规则阻断路径遍历攻击，监控插件和文件相关端点的可疑活动，并尽可能减少Dify实例的公开暴露。

Part06

AI基础设施系统性风险

这些发现属于Zafran"暗面计划"的研究成果，该计划专注于揭示AI基础设施的系统性弱点。与先前对Chainlit框架的研究类似，本次披露凸显出现代AI系统基于微服务和容器化环境的架构特性，会引入传统安全工具难以检测的新攻击面。为此，Zafran开发了"影子容器镜像组件增强"技术，可提升对容器镜像内应用层漏洞的可见性。

典型攻击场景显示：攻击者注册免费Dify云账户后，可识别公共AI应用、提取其内部App ID并静默启用追踪功能，从而持续获取所有用户交互数据而不被发现。随着AI应用加速普及，这些漏洞凸显出加强隔离措施、安全架构设计和提升AI供应链可见性的紧迫需求。