标题: dify的上传 ssrf漏洞如何修复
作者: #Ben2008
板块: #开发调优
编号: 1498758
帖子: https://linux.do/t/topic/1498758
时间: 2026-01-22 11:21:24
摘要:

github.com/langgenius/dify
  

  
    
  
   
  

  
    
      Unauthorized SSRF vulnerability in controllers.console.remote_files.RemoteFileUploadApi
    

    
      
        已打开 03:50AM - 07 Mar 25 UTC
      

        
          已关闭 06:35AM - 29 Aug 25 UTC
        

      
        
          
          UzJu
        
      
    

    
        
          🐞 bug
        
        
          vulnerablity
        
    
  


  
    ### Self Checks

- [x] This is only for bug report, if you would like to ask a q…uestion, please head to [Discussions](https://github.com/langgenius/dify/discussions/categories/general).
- [x] I have searched for existing issues [search for existing issues](https://github.com/langgenius/dify/issues), including closed ones.
- [x] I confirm that I am using English to submit this report (我已阅读并同意 [Language Policy](https://github.com/langgenius/dify/issues/1542)).
- [x] [FOR CHINESE USERS] 请务必使用英文提交 Issue，否则会被关闭。谢谢！:）
- [x] Please do not modify this template :) and fill in all the required fields.

### Dify version

1.0.0

### Cloud or Self Hosted

Self Hosted (Docker)

### Steps to reproduce

The class controllers.console.remote_files.RemoteFileUploadApi will get the URL parameter to initiate the request externally through ssrf_proxy.head, but actually ssrf_proxy.head calls core.helper.ssrf_ proxy.make_request, will also unconditionally outbound request, theoretically if this is a business function, please do the authentication process for the interface, do not let unauthorized users access the

- controllers.console.remote_files.RemoteFileUploadApi

![Image](https://github.com/user-attachments/assets/7cf5069d-7a91-4acc-8cf7-b247bf6c0b29)

![Image](https://github.com/user-attachments/assets/078b2bef-0a4e-4348-83ee-5a4ee3e4c4d8)

http
POST /console/api/remote-files/upload HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:135.0) Gecko/20100101 Firefox/135.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,/;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate, br, zstd
Connection: keep-alive
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: cross-site
Priority: u=0, i
Content-Type: application/json

{"url":"http://192.168.1.94:1234"}

At this point my terminal received the request normally

<img width="566" alt="Image" src="https://github.com/user-attachments/assets/8122c314-8dc9-4f2e-924f-accc5621ee10" />

![Image](https://github.com/user-attachments/assets/74d83d72-6763-49e4-acbe-bd7a308c2fe4)
Restoration Recommendations
If this is a normal function that requires access to a remote address, then it is recommended to authenticate the interface

### ✔️ Expected Behavior

If this is a normal function that requires access to a remote address, then it is recommended to authenticate the interface

### ❌ Actual Behavior

_No response_
  

  

  
    
    
  

  


我更新到1.11.4，依然存在。请问有大佬知道如何修复吗？

标题: 纪念品到货？大家都咋用的
作者: #toy404
板块: #搞七捻三
编号: 1498761
帖子: https://linux.do/t/topic/1498761
时间: 2026-01-22 11:22:21
摘要:

我没钥匙啊，不配用，挂脖子？婊起来？

标题: 这几天的Claude简直蠢到没边了
作者: #gls
板块: #搞七捻三
编号: 1498764
帖子: https://linux.do/t/topic/1498764
时间: 2026-01-22 11:22:36
摘要:

我真受不来了，让他通过mcp看接口返回参数，他都拿到接口文档了，但是里面有一层参数被一个对象包裹着，他不管，直接用里面字段，还有就是现在必须指哪打哪根本不管其他的关联场景，我肺都气炸了

标题: 【求助】白天在单位电脑登录，下班回家登录不上，限制IP是为什么呢？
作者: #山海
板块: #搞七捻三
编号: 1498772
帖子: https://linux.do/t/topic/1498772
时间: 2026-01-22 11:24:35
摘要:

如题，白天是在单位登录L站的，晚上回家用家里电脑登录就提示"您无法从该IP地址以yu6677身份登录"

标题: gpt k12被封了
作者: #zero6
板块: #搞七捻三
编号: 1498776
帖子: https://linux.do/t/topic/1498776
时间: 2026-01-22 11:24:55
摘要:

用了1个月了, 以为稳了, 结果凉凉了, 好难搞, 有些数据兑换数据还需要呢

标题: 怎么把电脑本地视频传到手机
作者: #fq d
板块: #搞七捻三
编号: 1498781
帖子: https://linux.do/t/topic/1498781
时间: 2026-01-22 11:26:51
摘要:

如题 手机苹果  电脑windows 发现用微信传压缩画质 求

标题: 再大马的第三天。
作者: #RemMai
板块: #搞七捻三
编号: 1498783
帖子: https://linux.do/t/topic/1498783
时间: 2026-01-22 11:27:20
摘要:

公司是25年7月入职的，三个人的小团队，12月拓展到4个人了。
先说福利待遇
没有节假日礼品，法定上下班时间，法定节假日。
每月按时月底发工资，（会有浮动（提前），不会超过当月）。
这次因为是公司十周年，也因为确实知道公司是在东南亚有具体业务的，所以和同事们一起来了大马。
住和出行，都是公司安排，30RM的地铁卡，公司还给了770RM的令吉特（马币）。

先说吃吧，其实总体来说和hk差不多，伊斯兰教的女士很多，印裔多数是服务员，收银员。吃的话，一顿下来，10-14RM就差不多了，能吃饱，目前是分餐制，也能吃好。
还有他们月底，好像是外卖有买一送一的活动，哈哈哈（具体我也不懂）。
然后就是地铁，和国内没啥差别，就是站内不一定有空调（我没感受到），轻轨的轨道是没有防护栅栏的，还是得注意安全，至于市区的道路的话，昨晚去了双峰塔，道路行人街道，都很好，但是我住的街区 ss15，就感觉一般了，柏油路都是碎的，反正我镇上不会这样。
看了当地的工作工资，服务员大概在1500-2000（招聘广告），房屋中介\管理2000-2500/3000（我忘记了多少）。其实算了一下，感觉是能活下去的，除非房租在600以下，但是估计会很辛苦，所以也就理解为什么东南亚很多人打两份工的愿意呢了。
然后就是工作时间，晚上10点吧，大家都下班了，除了地铁（轻轨），这个12点下班（末班车）。
汽车，电车比较少，目前就见到2辆，一辆比亚迪，一辆不知道啥，标识左边上面是大马国旗，下面是绿色，然后油车很多很多，停车场也很多，立体停车场很常见，我看了，油价大概是2-3RM/L,所以大家更愿意开油车吧，哈哈，而且畅销车型是Polo车型，贼常见。
我想，他们的效率慢，估计是因为不像国内两班倒，也正常，也能理解。
本文自己上班时间敲出来的，没有人任何贬低，只说事实。
先写这么多吧。还行，同事挺好的。

标题: cc 500报错
作者: #c1532171719
板块: #开发调优
编号: 1498786
帖子: https://linux.do/t/topic/1498786
时间: 2026-01-22 11:27:28
摘要:

今天是不是cc都崩了啊，都用不了

标题: 6G要来了..
作者: #尘叶风凌
板块: #搞七捻三
编号: 1498789
帖子: https://linux.do/t/topic/1498789
时间: 2026-01-22 11:27:39
摘要:

我国5G用户规模超12亿户 近期已启动第二阶段6G技术试验

标题: 反重力 家庭账号出问题了吗？
作者: #INSPIRE
板块: #搞七捻三
编号: 1498790
帖子: https://linux.do/t/topic/1498790
时间: 2026-01-22 11:27:40
摘要:

家庭组好几个切换都是OK FAQ， 是不是被爆了啊，前几天还可以用工具辅助下，各位看看情况

标题: 有使用C#的佬没，求助点问题
作者: #SLSY
板块: #开发调优
编号: 1498794
帖子: https://linux.do/t/topic/1498794
时间: 2026-01-22 11:28:14
摘要:

最近在用Visual Studio搞C#的WPF，想借助AI修改一些东西，但是没有找到最优解，查了些资料，发现有用vscode来看代码的，但我这个牵扯界面设计，有没有好的方法推荐一下

标题: cc退出计划模式自动清除上下文
作者: #萧瑟
板块: #开发调优
编号: 1498796
帖子: https://linux.do/t/topic/1498796
时间: 2026-01-22 11:28:23
摘要:

cc的这个clear context and auto-accept是新出的吗？之前一直就在想，plan mode出了计划能不能把我之前聊的上下文都清除掉，专注于实现计划（省的我复制计划，新开会话了），现在竟然支持了。

标题: 大家所说的老佛爷是什么意思？
作者: #Yovt
板块: #搞七捻三
编号: 1498800
帖子: https://linux.do/t/topic/1498800
时间: 2026-01-22 11:28:59
摘要:

看到论坛里面有好多人说“老佛爷”，不太明白其含义，求解答～

标题: 记昨天晚上的一场悲剧
作者: #李白
板块: #搞七捻三
编号: 1498818
帖子: https://linux.do/t/topic/1498818
时间: 2026-01-22 11:31:48
摘要:

夜晚的风打在玻璃上，我躺在床上刷着手机，看着小屏幕里世界笑出了声。突然小腿传来异常感觉，我赶忙丢下手机准备揉捏，但还是慢了一步，小腿直接抽筋。只能边忍着疼痛边揉捏小腿缓解。
祸不单行，相同的感觉很快从另一条腿传来。
人在无语的时候真的会笑 ，我直接笑了，也不揉捏了，脑海里彷佛隐射着我此刻的表情。还是得做些什么的，我用手锤着两个小腿，过了一小会儿算是熬过了疼痛的高点，然后就带着疼痛睡觉了。
早上起来发力的时候小腿还是有些不适感的，没办法还得上班