Zafran
aidefend-sf0010
DifyTap：Dify 的跨租戶 AI 資料暴露
- AI 基礎設施
- RAG 與知識系統
- 資料外洩
Zafran 揭露了 Dify 上幾條各自獨立的問題路徑：跨租戶外洩追蹤記錄、未經身分驗證就能對 Plugin Daemon 做路徑遍歷、以檔案 UUID 繞過授權檢查，以及透過文件預覽功能，暴露出一個已知的 PDFium 釋放後使用（use-after-free）漏洞。這張圖把這些路徑分開呈現，並把 Plugin Daemon 的影響範圍，限縮在來源真正示範出來的程度。