CVE-2024-34709
Təsvir
Directus, SQL məlumat bazasının məzmununu idarə etmək üçün real vaxt rejimində işləyən API və Tətbiq panelidir. 10.11.0 versiyasından əvvəl sessiya tokenləri digər JWT tokenləri kimi fəaliyyət göstərir və sistemdən çıxış zamanı faktiki olaraq etibarsızlaşdırılmır. `directus_session` məhv edilir və kuki silinir, lakin kuki dəyəri ələ keçirilibsə, o, standart olaraq 1 gün təyin edilmiş bütün müddət ərzində hələ də işləyəcəkdir. Bu, onu nəzərdə tutulmuş vəziyyətli (stateful) sessiya tokeni əvəzinə effektiv şəkildə uzunömürlü, geri çağırıla bilməyən vəziyyətsiz (stateless) tokenə çevirir. Bu zəiflik 10.11.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- monospace directus10.11.0 və ya daha yeni versiya
- directus10.11.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| monospace directus | v < 10.11.0 | 10.11.0 |
| directusnpm | 10.10.0 ≤ v < 10.11.0 | 10.11.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.