CVE-2026-61836
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W Directus przed wersją 12.0.0, przy włączonym buforowaniu odpowiedzi, klucz pamięci podręcznej nie uwzględnia kontekstu autoryzacji (np. tokenów udostępniania, ról, uprawnień). Powoduje to, że różni użytkownicy lub anonimowe żądania do tego samego URL mogą otrzymać tę samą buforowaną odpowiedź bez ponownej weryfikacji uprawnień.
Ocena ryzyka
Organizacja naraża się na wyciek danych, ponieważ użytkownicy z ograniczonymi uprawnieniami mogą uzyskać dostęp do treści przeznaczonych dla innych użytkowników lub ról, co narusza zasadę izolacji dostępu.
Rekomendacja
Należy niezwłocznie zaktualizować Directus do wersji 12.0.0 lub nowszej. Do czasu aktualizacji zaleca się wyłączenie buforowania odpowiedzi dla wrażliwych endpointów.
Inne podatności w Directus
Zobacz wszystkie- CVE-2026-10716Wysokie
Directus zawiera podatność na wstrzykiwanie SQL w procesie tworzenia kolekcji, gdy instancja używa PostgreSQL z włączonym PostGIS. Administrator może utworzyć kolekcję z polem geometrii, którego wartość fields[].type zaczyna się od 'geometry', ale zawiera kontrolowaną przez atakującego składnię SQL po podtypie geometrii. Problem dotyczy Directus przed wersją 12.1.0.
- CVE-2026-61835Wysokie
W Directus przed wersją 12.0.0 ochrona SSRF w funkcji importu plików z URL może zostać ominięta przez użycie adresu 0.0.0.0. System traktuje ten adres jako słowo kluczowe dla interfejsów lokalnych, ale nie blokuje go bezpośrednio, co pozwala na dostęp do localhost na Linux i macOS. Uwierzytelniony użytkownik z prawami do przesyłania plików może wykorzystać endpoint /files/import do pobierania wewnętrznych usług i zapisywania odpowiedzi jako plik.
- CVE-2026-35442Wysokie
W Directus przed wersją 11.17.0 funkcje agregujące (min, max) na polach z typem conceal zwracają surowe wartości zamiast maskowanych. Uwierzytelniony użytkownik z dostępem do odczytu może wyodrębnić ukryte wartości, w tym tokeny API i sekrety 2FA.
- CVE-2026-35441Średnie
Directus przed wersją 11.17.0 nie deduplikuje wywołań resolverów w zapytaniach GraphQL. Uwierzytelniony użytkownik może wykorzystać aliasowanie GraphQL do wielokrotnego powtarzania kosztownych zapytań relacyjnych, powodując przeciążenie bazy danych i wyczerpanie zasobów serwera.
- CVE-2026-35413Średnie
W Directus przed wersją 11.16.1, pomimo wyłączenia GraphQL introspection (GRAPHQL_INTROSPECTION=false), resolver server_specs_graphql na endpoint /graphql/system nadal zwracał schemat w formacie SDL. Pozwalało to na ominięcie kontroli introspection i ujawnienie struktury bazy danych (nazwy kolekcji, pól, typów i relacji) nieuwierzytelnionym użytkownikom na poziomie publicznym oraz uwierzytelnionym na ich poziomie uprawnień.
- CVE-2026-35412Wysokie
Directus przed wersją 11.16.1 zawiera podatność w punkcie końcowym TUS resumable upload (/files/tus), która pozwala uwierzytelnionemu użytkownikowi z podstawowymi uprawnieniami do przesyłania plików na nadpisywanie dowolnych istniejących plików po UUID. Kontroler TUS wykonuje tylko autoryzację na poziomie kolekcji, pomijając reguły dostępu na poziomie wiersza.
- CVE-2026-35411Średnie
Directus przed wersją 11.16.1 jest podatny na otwarte przekierowanie przez parametr 'redirect' na stronie /admin/tfa-setup. Administrator, który nie skonfigurował jeszcze 2FA, po odwiedzeniu spreparowanego URL-a i ukończeniu konfiguracji 2FA, zostaje przekierowany na zewnętrzną domenę kontrolowaną przez atakującego bez żadnej walidacji.
- CVE-2026-35410Średnie
Directus przed wersją 11.16.1 zawiera podatność na otwarte przekierowanie w logice przekierowania po logowaniu. Funkcja isLoginRedirectAllowed nieprawidłowo identyfikuje niektóre źle sformowane URL-e jako zewnętrzne, co pozwala ominąć walidację listy dozwolonych przekierowań i przekierować użytkowników na dowolne zewnętrzne domeny po pomyślnym uwierzytelnieniu.
- CVE-2026-35409Wysokie
W Directus przed wersją 11.16.0 zidentyfikowano obejście ochrony SSRF poprzez użycie notacji IPv4-Mapped IPv6. Mechanizm blokowania adresów lokalnych i prywatnych może zostać ominięty.
- CVE-2026-35408Wysokie
W Directus przed 11.17.0 brak nagłówka Cross-Origin-Opener-Policy (COOP) na stronach logowania SSO. Atakujący może przechwycić i przekierować przepływ autoryzacji OAuth do kontrolowanego przez siebie klienta OAuth, kradnąc dostęp do konta ofiary.
Oryginalny opis (angielski, źródło NVD)
Directus is a real-time API and App dashboard for managing SQL database content. Prior to 12.0.0, when response caching is enabled, the cache-key derivation in api/src/utils/get-cache-key.ts includes version, path, query, and accountability.user but omits authorization context such as share, role, roles, admin, app, and policies. Directus share tokens and anonymous requests can both reduce to user null, so different shares or anonymous clients requesting the same URL and query can receive a permission-filtered cached response without permission re-evaluation. This issue is fixed in version 12.0.0.