LLMアプリ開発基盤「Dify」に複数のクリティカル脆弱性

大規模言語モデル（LLM）アプリ開発プラットフォーム「Dify」に情報漏洩や設定の改ざんなど複数の脆弱性が明らかとなった。

「同1.14.1」および以前のバージョンが影響を受ける3件の脆弱性が明らかとなった。

「CVE-2026-41948」は、Pluginデーモンの「REST API」において転送リクエストを操作できるパストラバーサルの脆弱性。テナントのUUIDを把握している場合に、タスク識別子やファイル名パラメータを細工して内部エンドポイントへアクセスされるおそれがある。

「CVE-2026-41947」は、編集者権限における認可バイパスの脆弱性。トレース設定のエンドポイントにおけるテナント所有権の確認不備に起因する。

他テナントのアプリケーションに対するトレース設定を変更することが可能。メッセージや応答が第三者が管理するLLMトレースプロバイダへ転送される可能性がある。

（Security NEXT - 2026/05/19 ）ツイート