CVE-2025-64746
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Directus przed wersją 11.13.0 nie usuwa prawidłowo uprawnień na poziomie pola po usunięciu pola. Stare wpisy uprawnień pozostają w tabeli uprawnień, a nowe pole o tej samej nazwie dziedziczy nieaktualne uprawnienia.
Ocena ryzyka
Role mogą uzyskać nieautoryzowany dostęp do danych, które powinny być niedostępne, co jest szczególnie ryzykowne w środowiskach wielodostępnych lub produkcyjnych.
Rekomendacja
Zaktualizuj Directus do wersji 11.13.0 lub nowszej, która naprawia problem.
Inne podatności w Directus
Zobacz wszystkie- CVE-2026-10716Wysokie
Directus zawiera podatność na wstrzykiwanie SQL w procesie tworzenia kolekcji, gdy instancja używa PostgreSQL z włączonym PostGIS. Administrator może utworzyć kolekcję z polem geometrii, którego wartość fields[].type zaczyna się od 'geometry', ale zawiera kontrolowaną przez atakującego składnię SQL po podtypie geometrii. Problem dotyczy Directus przed wersją 12.1.0.
- CVE-2026-61836Wysokie
W Directus przed wersją 12.0.0, przy włączonym buforowaniu odpowiedzi, klucz pamięci podręcznej nie uwzględnia kontekstu autoryzacji (np. tokenów udostępniania, ról, uprawnień). Powoduje to, że różni użytkownicy lub anonimowe żądania do tego samego URL mogą otrzymać tę samą buforowaną odpowiedź bez ponownej weryfikacji uprawnień.
- CVE-2026-61835Wysokie
W Directus przed wersją 12.0.0 ochrona SSRF w funkcji importu plików z URL może zostać ominięta przez użycie adresu 0.0.0.0. System traktuje ten adres jako słowo kluczowe dla interfejsów lokalnych, ale nie blokuje go bezpośrednio, co pozwala na dostęp do localhost na Linux i macOS. Uwierzytelniony użytkownik z prawami do przesyłania plików może wykorzystać endpoint /files/import do pobierania wewnętrznych usług i zapisywania odpowiedzi jako plik.
- CVE-2026-35442Wysokie
W Directus przed wersją 11.17.0 funkcje agregujące (min, max) na polach z typem conceal zwracają surowe wartości zamiast maskowanych. Uwierzytelniony użytkownik z dostępem do odczytu może wyodrębnić ukryte wartości, w tym tokeny API i sekrety 2FA.
- CVE-2026-35441Średnie
Directus przed wersją 11.17.0 nie deduplikuje wywołań resolverów w zapytaniach GraphQL. Uwierzytelniony użytkownik może wykorzystać aliasowanie GraphQL do wielokrotnego powtarzania kosztownych zapytań relacyjnych, powodując przeciążenie bazy danych i wyczerpanie zasobów serwera.
- CVE-2026-35413Średnie
W Directus przed wersją 11.16.1, pomimo wyłączenia GraphQL introspection (GRAPHQL_INTROSPECTION=false), resolver server_specs_graphql na endpoint /graphql/system nadal zwracał schemat w formacie SDL. Pozwalało to na ominięcie kontroli introspection i ujawnienie struktury bazy danych (nazwy kolekcji, pól, typów i relacji) nieuwierzytelnionym użytkownikom na poziomie publicznym oraz uwierzytelnionym na ich poziomie uprawnień.
- CVE-2026-35412Wysokie
Directus przed wersją 11.16.1 zawiera podatność w punkcie końcowym TUS resumable upload (/files/tus), która pozwala uwierzytelnionemu użytkownikowi z podstawowymi uprawnieniami do przesyłania plików na nadpisywanie dowolnych istniejących plików po UUID. Kontroler TUS wykonuje tylko autoryzację na poziomie kolekcji, pomijając reguły dostępu na poziomie wiersza.
- CVE-2026-35411Średnie
Directus przed wersją 11.16.1 jest podatny na otwarte przekierowanie przez parametr 'redirect' na stronie /admin/tfa-setup. Administrator, który nie skonfigurował jeszcze 2FA, po odwiedzeniu spreparowanego URL-a i ukończeniu konfiguracji 2FA, zostaje przekierowany na zewnętrzną domenę kontrolowaną przez atakującego bez żadnej walidacji.
- CVE-2026-35410Średnie
Directus przed wersją 11.16.1 zawiera podatność na otwarte przekierowanie w logice przekierowania po logowaniu. Funkcja isLoginRedirectAllowed nieprawidłowo identyfikuje niektóre źle sformowane URL-e jako zewnętrzne, co pozwala ominąć walidację listy dozwolonych przekierowań i przekierować użytkowników na dowolne zewnętrzne domeny po pomyślnym uwierzytelnieniu.
- CVE-2026-35409Wysokie
W Directus przed wersją 11.16.0 zidentyfikowano obejście ochrony SSRF poprzez użycie notacji IPv4-Mapped IPv6. Mechanizm blokowania adresów lokalnych i prywatnych może zostać ominięty.
Oryginalny opis (angielski, źródło NVD)
Directus is a real-time API and App dashboard for managing SQL database content. Prior to version 11.13.0, Directus does not properly clean up field-level permissions when a field is deleted. When a field is removed from a collection, its reference in the permissions table remains intact. This stale reference creates a security gap: if another field is later created using the same name, it inherits the outdated permission entry. This behavior can unintentionally grant roles access to data they should not be able to read or modify. The issue is particularly risky in multi-tenant or production environments, where administrators may reuse field names, assuming old permissions have been fully cleared. Version 11.13.0 fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS