«پژوهشگران از آسیب‌پذیری‌های DifyTap پرده برداشتند؛ احتمال افشای چت‌های هوش مصنوعی بین tenantها»

پژوهشگران امنیت سایبری جزئیات چهار آسیب‌پذیری امنیتی در پلتفرم متن‌باز Dify را منتشر کرده‌اند؛ پلتفرمی با بیش از ۱۴۶ هزار ستاره در GitHub که برای ساخت گردش‌کارهای مبتنی بر عامل‌های هوش مصنوعی (AI Agents) استفاده می‌شود. این آسیب‌پذیری‌ها که در مجموع با نام «DifyTap» توسط شرکت Zafran Security شناخته شده‌اند، می‌توانستند منجر به افشای مکالمات خصوصی کاربران بین محیط‌های چندمستأجری (multi-tenant) شوند.

به گفته پژوهشگران امنیتی Ido Shani و Gal Zaban، این مجموعه شامل دو آسیب‌پذیری بحرانی، دو مورد بدون نیاز به احراز هویت، و سه نقص با تأثیر بین‌مستأجری بوده است. بهره‌برداری از این ضعف‌ها می‌توانست به مهاجم اجازه دهد بدون مجوز، به چت‌های خصوصی کاربران دیگر در اپلیکیشن‌های هوش مصنوعی دسترسی پیدا کند و یک کانال مخفی برای استخراج داده از پیام‌ها و پاسخ‌های مدل ایجاد نماید.

بر اساس این گزارش، برخی از این آسیب‌پذیری‌ها امکان دسترسی غیرمجاز به API داخلی Plugin Daemon را فراهم کرده و به مهاجم اجازه می‌داد درخواست‌ها را در سطح داخلی سیستم دستکاری کند. همچنین امکان مشاهده اسناد آپلودشده توسط سایر کاربران و حتی نشت فایل‌ها در سطح یک مستأجر از طریق شناسه‌های یکتای فایل وجود داشته است.

در یکی دیگر از یافته‌ها، مشخص شد که Dify از نسخه آسیب‌پذیر کتابخانه PDFium استفاده می‌کرده است؛ کتابخانه‌ای متن‌باز برای پردازش فایل‌های PDF که دارای آسیب‌پذیری شناخته‌شده CVE-2024-5846 با امتیاز CVSS برابر 8.8 است. این نقص می‌تواند در شرایط خاص منجر به فساد حافظه (heap corruption) از طریق فایل‌های PDF مخرب شود.

فهرست آسیب‌پذیری‌های اصلی CVE-2026-41947 (امتیاز 9.1): دور زدن سطح دسترسی که به کاربران احراز هویت‌شده اجازه می‌دهد تنظیمات رهگیری (trace configuration) را برای هر اپلیکیشن، بدون توجه به مالکیت آن، تغییر دهند. CVE-2026-41948 (امتیاز 9.4): آسیب‌پذیری path traversal که امکان دسترسی به APIهای داخلی Plugin Daemon از طریق دستکاری مسیر درخواست‌ها را فراهم می‌کند. CVE-2026-41949 (امتیاز 7.5/5.9): ضعف در کنترل دسترسی endpoint پیش‌نمایش فایل که امکان مشاهده بخشی از محتوای اسناد سایر کاربران را با استفاده از UUID فایل فراهم می‌کند. CVE-2026-41950 (امتیاز 6.5): دور زدن کنترل دسترسی که اجازه می‌دهد کاربران احراز هویت‌شده به محتوای کامل فایل‌های سایر کاربران در همان مستأجر دسترسی پیدا کنند.

پژوهشگران هشدار داده‌اند که نبود بررسی صحیح مالکیت بین مستأجرها (tenant ownership) می‌تواند زمینه ایجاد کانال‌های دائمی برای استخراج داده از پیام‌ها و پاسخ‌های مدل‌های زبانی را فراهم کند. این موضوع به‌ویژه در نسخه‌های عمومی قابل دسترس اهمیت بیشتری دارد، زیرا هر کاربر می‌تواند به‌سادگی در این پلتفرم ثبت‌نام کند.

در پی افشای مسئولانه این آسیب‌پذیری‌ها، نسخه 1.14.2 از Dify منتشر شد که اکثر مشکلات امنیتی را برطرف می‌کند. با این حال، یکی از آسیب‌پذیری‌ها همچنان در حال رفع بوده و انتظار می‌رود در نسخه‌های بعدی به‌طور کامل برطرف شود.

در پایان، پژوهشگران تأکید کرده‌اند که این مجموعه آسیب‌پذیری‌ها نشان می‌دهد نظارت بر امنیت در محیط‌های کانتینری و چندمستأجری همچنان یک چالش جدی است؛ زیرا تفاوت در استقرارها می‌تواند شکاف‌هایی ایجاد کند که ابزارهای اسکن امنیتی سنتی قادر به شناسایی آن‌ها نیستند.