Dify 원격 파일 기능 SSRF 보호 우회 (내부 서비스 접근)

요약

Dify 1.15.0 이전 버전에서 로그인한 콘솔 사용자가 SSRF 보호를 우회해 내부 서비스와 클라우드 메타데이터에 임의의 HTTP 요청을 보낼 수 있습니다. AWS에 배포한 경우 IAM 자격 증명도 읽힐 수 있습니다.

해당 조건

• 로그인한 콘솔 사용자 계정
• AWS 배포 (IAM 자격 증명 읽기)

대처법

Dify 1.15.0 이상으로 업데이트하세요.

대상 제품과 운영체제

• dify

CVE 번호

• CVE-2026-58141 (새 탭에서 열림)

원문 링크

• 보안 공지: github.com (새 탭에서 열림)
• 분석 글: vulncheck.com (새 탭에서 열림)
• CVE 기록: cve.org (새 탭에서 열림)

시각

처음 게시 2026-11-07 00:55

처음 확인 2026-11-10 03:10