CVE-2023-27481

Directus, SQL veritabanı içeriğini yönetmek için kullanılan gerçek zamanlı bir API ve Uygulama panelidir. 9.16.0 öncesindeki sürümlerde, `directus_users` tablosundaki `password` alanına okuma erişimi olan kullanıcılar, dışa aktarma işlevini `_starts_with` filtresiyle birlikte kaba kuvvet yöntemiyle kullanarak argon2 parola özetlerini çıkarabilirler. Bu durum, kullanıcının parola özetlerini numaralandırmasına olanak tanır. Özetler tersine çevrilmediği sürece hesapların ele geçirilmesi mümkün değildir ki bu mevcut donanımlarla düşük bir ihtimaldir. Bu sorun, 9.16.0 sürümünde herhangi bir özetlenmiş/gizlenmiş alanın `_starts_with` veya diğer dize operatörleri ile filtrelenmesinin engellenmesiyle giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, hiçbir kullanıcının `directus_users` içindeki `password` alanına `read` erişimi olmadığından emin olarak bu sorunu hafifletebilirler.