CVE-2026-35442
Təsvir
Directus, SQL məlumat bazasının məzmununu idarə etmək üçün real vaxt rejimində işləyən API və Tətbiq panelidir. 11.17.0 versiyasından əvvəl, "conceal" xüsusi tipinə malik sahələrə tətbiq edilən aqreqat funksiyaları (min, max), maskalanmış yer tutucu əvəzinə yanlış şəkildə məlumat bazasındakı xam dəyərləri qaytarır. groupBy ilə birlikdə istifadə edildikdə, təsirlənmiş kolleksiyaya oxuma girişi olan hər hansı autentifikasiya olunmuş istifadəçi, directus_users cədvəlindən statik API tokenləri və iki faktorlu autentifikasiya gizli açarları daxil olmaqla, gizli saxlanılan sahələrin dəyərlərini çıxara bilər. Bu zəiflik 11.17.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- monospace directus11.17.0 və ya daha yeni versiya
- directus11.17.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| monospace directus | v < 11.17.0 | 11.17.0 |
| directusnpm | v < 11.17.0 | 11.17.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.