深度剖析 CVE-2025-3466：Langgenius Dify 代码节点未净化输入导致的高危任意代码执行漏洞

引言：从漏洞披露到技术本质

2025 年 7 月 7 日，CVE-2025-3466 被正式披露 —— 这一编号背后是 Langgenius Dify 1.1.0 至 1.1.2 版本中存在的高危任意代码执行漏洞，CVSS 评分高达 9.8 分。此前的分析已揭示其核心是 “沙箱初始化时机漏洞”，但当我们深入到代码层面，会发现这一漏洞的根源是代码执行顺序的致命疏忽与输入净化机制的完全缺失。本文将结合 Huntr 披露的技术细节与漏洞证明（PoC），从代码逻辑、利用方式到防御措施进行全方位拆解。

漏洞回顾：为何 9.8 分的风险如此致命？

Langgenius Dify 是一款广泛使用的 AI 应用开发平台，其 “代码节点” 功能允许用户编写 JavaScript 代码实现自定义逻辑。为限制代码权限，平台设计了基于 seccomp（Linux 安全机制）的沙箱环境，但这一保护机制被一个看似微小的代码顺序问题彻底突破：

• 核心矛盾：用户代码在沙箱安全限制生效之前被执行，导致攻击者可通过覆盖全局函数（如 parseInt）劫持沙箱初始化过程，最终以 root 权限执行任意命令。
• 攻击门槛：无需认证（PR:N）、无需用户交互（UI:N）、远程可利用（AV:N），意味着任何能访问 Dify 代码节点功能的攻击者都能轻松利用。

深入代码层面：漏洞的根源剖析

要理解这一漏洞，必须从 Dify 处理代码节点的底层逻辑入手。Huntr 披露的技术细节揭示了两个关键文件的代码逻辑：prescript.js（沙箱初始化脚本）与 nodejs.go（代码执行器）。

1. prescript.js：沙箱启动前的 “致命延迟”

prescript.js 是 Dify 用于初始化沙箱环境的前置脚本，其核心代码如下（简化版）：

// prescript.js 核心逻辑
const argv = process.argv;
const koffi = require('koffi');
const lib = koffi.load('./var/sandbox/sandbox-nodejs/nodejs.so');
const difySeccomp = lib.func('void DifySeccomp(int, int, bool)'); // [1] 定义安全限制函数

// 解析用户 ID、组 ID 和配置
const uid = parseInt(argv[2]); // [2] 调用 parseInt（关键！）
const gid = parseInt(argv[3]); // [2] 再次调用 parseInt
const options = JSON.parse(argv[4])