CVE-2024-28238
Açıklama
Directus, SQL veritabanı içeriğini yönetmek için kullanılan gerçek zamanlı bir API ve Uygulama panelidir. /files sayfasına erişildiğinde, GET isteği aracılığıyla bir JWT iletilmektedir. Oturum jetonlarının URL'lerde yer alması, URL'lerin genellikle çeşitli yerlere (örneğin, web sunucusu günlükleri, tarayıcı geçmişi) kaydedilmesi nedeniyle bir güvenlik riski oluşturur. Bu günlüklere erişim sağlayan saldırganlar, aktif kullanıcı oturumlarını ele geçirerek hassas bilgilere yetkisiz erişim sağlayabilir veya kullanıcı adına işlemler gerçekleştirebilir. Bu sorun 10.10.0 versiyonunda giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- monospace directus10.10.0 ya da sonraki bir sürüm
- directus10.10.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| monospace directus | v < 10.10.0 | 10.10.0 |
| directusnpm | v < 10.10.0 | 10.10.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.