Dify v1.9.1には不適切な権限管理の脆弱性があります。認証されていない攻撃者は、認証情報やセッショントークンなしで /console/api/system-features エンドポイントへ直接HTTP GETリクエストを送信できます。このエンドポイントでは適切な認可チェックが行われていないため、攻撃者は機密性の高いシステム構成データに匿名でアクセスすることが可能です。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。