Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-11553

Опубликовано: 09 июн. 2026
Источник: fstec
CVSS3: 6.3
CVSS2: 6.5
EPSS Низкий

Описание

Уязвимость функции jinja2.Template() файла api/core/helper/code_executor/jinja2/jinja2_transformer.py обработчика Jinja2 платформы для разработки приложений Dify связана с непринятием мер по нейтрализации специальных элементов в механизме создания шаблонов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

dify.ai

Версия ПО

до 1.14.2 включительно (dify.ai)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,5)
Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,3)

Возможные меры по устранению уязвимости

Компенсирующие меры:
- минимизация пользовательских привилегий;
- использование SIEM-систем для отслеживания попыток эксплуатации уязвимости;
- сегментирование сети для ограничения доступа к уязвимому программному обеспечению;
- отключение/удаление неиспользуемых учётных записей пользователей;
- использование виртуальных частных сетей для организации удаленного доступа (VPN);
- ограничение доступа из внешних сетей (Интернет).

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 14%
0.00228
Низкий

6.3 Medium

CVSS3

6.5 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.3
nvd
около 2 месяцев назад

A security flaw has been discovered in langgenius dify up to 1.14.2. This issue affects the function jinja2.Template of the file api/core/helper/code_executor/jinja2/jinja2_transformer.py of the component Jinja2 Handler. The manipulation results in improper neutralization of special elements used in a template engine. The attack may be launched remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

CVSS3: 6.3
github
около 2 месяцев назад

A security flaw has been discovered in langgenius dify up to 1.14.2. This issue affects the function jinja2.Template of the file api/core/helper/code_executor/jinja2/jinja2_transformer.py of the component Jinja2 Handler. The manipulation results in improper neutralization of special elements used in a template engine. The attack may be launched remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

EPSS

Процентиль: 14%
0.00228
Низкий

6.3 Medium

CVSS3

6.5 Medium

CVSS2