CVE-2023-27481

Directus, SQL məlumat bazasının məzmununu idarə etmək üçün real vaxt rejimində işləyən API və Tətbiq panelidir. 9.16.0 versiyasından əvvəlki versiyalarda, `directus_users` cədvəlindəki `password` sahəsinə oxuma girişi olan istifadəçilər, ixrac funksionallığını `_starts_with` filtri ilə birlikdə brute force üsulu ilə tətbiq edərək argon2 parol heşlərini çıxara bilərlər. Bu, istifadəçiyə parol heşlərini sadalamağa imkan verir. Heşlər geri qaytarılmadıqca hesabları ələ keçirmək mümkün deyil ki, bu da mövcud aparat təminatı ilə ehtimal olunmayan haldır. Bu problem, 9.16.0 versiyasında hər hansı heşlənmiş/gizli sahənin `_starts_with` və ya digər sətir operatorları ilə filtrasiya edilməsinin qarşısının alınması ilə aradan qaldırılmışdır. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Yeniləmə imkanı olmayan istifadəçilər, heç bir istifadəçinin `directus_users` cədvəlindəki `password` sahəsinə `read` girişinin olmadığından əmin olaraq bu problemi yumşalda bilərlər.