CVE-2026-10716
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Directus zawiera podatność na wstrzykiwanie SQL w procesie tworzenia kolekcji, gdy instancja używa PostgreSQL z włączonym PostGIS. Administrator może utworzyć kolekcję z polem geometrii, którego wartość fields[].type zaczyna się od 'geometry', ale zawiera kontrolowaną przez atakującego składnię SQL po podtypie geometrii. Problem dotyczy Directus przed wersją 12.1.0.
Ocena ryzyka
Administrator (lub osoba z uprawnieniami administratora) może wykorzystać podatność do wykonania nieautoryzowanych zapytań SQL, co może prowadzić do naruszenia danych, eskalacji uprawnień lub uszkodzenia bazy danych.
Rekomendacja
Zaleca się aktualizację Directus do wersji 12.1.0 lub nowszej, która zawiera poprawkę. Należy również ograniczyć uprawnienia administratora tylko do zaufanych osób.
Inne podatności w Directus
Zobacz wszystkie- CVE-2026-61836Wysokie
W Directus przed wersją 12.0.0, przy włączonym buforowaniu odpowiedzi, klucz pamięci podręcznej nie uwzględnia kontekstu autoryzacji (np. tokenów udostępniania, ról, uprawnień). Powoduje to, że różni użytkownicy lub anonimowe żądania do tego samego URL mogą otrzymać tę samą buforowaną odpowiedź bez ponownej weryfikacji uprawnień.
- CVE-2026-61835Wysokie
W Directus przed wersją 12.0.0 ochrona SSRF w funkcji importu plików z URL może zostać ominięta przez użycie adresu 0.0.0.0. System traktuje ten adres jako słowo kluczowe dla interfejsów lokalnych, ale nie blokuje go bezpośrednio, co pozwala na dostęp do localhost na Linux i macOS. Uwierzytelniony użytkownik z prawami do przesyłania plików może wykorzystać endpoint /files/import do pobierania wewnętrznych usług i zapisywania odpowiedzi jako plik.
- CVE-2026-35442Wysokie
W Directus przed wersją 11.17.0 funkcje agregujące (min, max) na polach z typem conceal zwracają surowe wartości zamiast maskowanych. Uwierzytelniony użytkownik z dostępem do odczytu może wyodrębnić ukryte wartości, w tym tokeny API i sekrety 2FA.
- CVE-2026-35441Średnie
Directus przed wersją 11.17.0 nie deduplikuje wywołań resolverów w zapytaniach GraphQL. Uwierzytelniony użytkownik może wykorzystać aliasowanie GraphQL do wielokrotnego powtarzania kosztownych zapytań relacyjnych, powodując przeciążenie bazy danych i wyczerpanie zasobów serwera.
- CVE-2026-35413Średnie
W Directus przed wersją 11.16.1, pomimo wyłączenia GraphQL introspection (GRAPHQL_INTROSPECTION=false), resolver server_specs_graphql na endpoint /graphql/system nadal zwracał schemat w formacie SDL. Pozwalało to na ominięcie kontroli introspection i ujawnienie struktury bazy danych (nazwy kolekcji, pól, typów i relacji) nieuwierzytelnionym użytkownikom na poziomie publicznym oraz uwierzytelnionym na ich poziomie uprawnień.
- CVE-2026-35412Wysokie
Directus przed wersją 11.16.1 zawiera podatność w punkcie końcowym TUS resumable upload (/files/tus), która pozwala uwierzytelnionemu użytkownikowi z podstawowymi uprawnieniami do przesyłania plików na nadpisywanie dowolnych istniejących plików po UUID. Kontroler TUS wykonuje tylko autoryzację na poziomie kolekcji, pomijając reguły dostępu na poziomie wiersza.
- CVE-2026-35411Średnie
Directus przed wersją 11.16.1 jest podatny na otwarte przekierowanie przez parametr 'redirect' na stronie /admin/tfa-setup. Administrator, który nie skonfigurował jeszcze 2FA, po odwiedzeniu spreparowanego URL-a i ukończeniu konfiguracji 2FA, zostaje przekierowany na zewnętrzną domenę kontrolowaną przez atakującego bez żadnej walidacji.
- CVE-2026-35410Średnie
Directus przed wersją 11.16.1 zawiera podatność na otwarte przekierowanie w logice przekierowania po logowaniu. Funkcja isLoginRedirectAllowed nieprawidłowo identyfikuje niektóre źle sformowane URL-e jako zewnętrzne, co pozwala ominąć walidację listy dozwolonych przekierowań i przekierować użytkowników na dowolne zewnętrzne domeny po pomyślnym uwierzytelnieniu.
- CVE-2026-35409Wysokie
W Directus przed wersją 11.16.0 zidentyfikowano obejście ochrony SSRF poprzez użycie notacji IPv4-Mapped IPv6. Mechanizm blokowania adresów lokalnych i prywatnych może zostać ominięty.
- CVE-2026-35408Wysokie
W Directus przed 11.17.0 brak nagłówka Cross-Origin-Opener-Policy (COOP) na stronach logowania SSO. Atakujący może przechwycić i przekierować przepływ autoryzacji OAuth do kontrolowanego przez siebie klienta OAuth, kradnąc dostęp do konta ofiary.
Oryginalny opis (angielski, źródło NVD)
Directus contains an authenticated SQL injection vulnerability in the collection creation flow when the instance uses PostgreSQL with PostGIS enabled. An administrator can create a collection with a geometry field whose fields[].type value starts with geometry but contains attacker-controlled SQL syntax after the geometry subtype.This issue affects Directus: before 12.1.0.