CVE-2026-18632
Publiée le 2026-08-03 · Dernière modification le 2026-10-23
Les instances Dify jusqu'à la version 1.14.2 sont affectées par une faille d'injection de modèle dans le gestionnaire Jinja2. Un utilisateur authentifié disposant d'un accès réseau peut exploiter cette vulnérabilité pour exécuter une logique non autorisée ou accéder à des informations système limitées. Étant donné qu'un exploit public existe et ne nécessite aucune interaction particulière de l'utilisateur, vous devriez mettre à jour votre installation pour atténuer ce risque.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security flaw has been discovered in langgenius dify up to 1.14.2. This issue affects the function jinja2.Template of the file api/core/helper/code_executor/jinja2/jinja2_transformer.py of the component Jinja2 Handler. The manipulation results in improper neutralization of special elements used in a template engine. The attack may be launched remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.