DifyTap: уязвимости в Dify могут раскрывать AI‑чаты между арендаторами

Коллеги, хочу обратить внимание в сфере кибербезопасности: исследователи Zafran Security описали DifyTap — четыре уязвимости в Dify, позволяющие читать AI‑чаты других клиентов без аутентификации.

Ключевые моменты:
- Две уязвимости критичны; три имеют кросс‑тенантный эффект — возможна скрытая утечка сообщений и ответов моделей.
- Затронуты Plugin Daemon API, предпросмотр файлов и парсинг PDF (уязвимый PDFium).
- Перечень: CVE-2026-41947/41948/41949/41950 и CVE-2024-5846.

Почему это важно: любой может зарегистрироваться в Dify и настроить трассировку, создав канал эксфильтрации.

Рекомендую обновить Dify до 1.14.2 и следить за патчами. Как Вы планируете реагировать на похожие угрозы?

#кибербезопасность #cloudsecurity #AIsecurity #vulnerability