CVE-2024-34708
Açıklama
Directus, SQL veritabanı içeriğini yönetmek için gerçek zamanlı bir API ve Uygulama panosudur. Maskelenmiş özetlenmiş alanları kullanan herhangi bir koleksiyonu görüntüleme iznine sahip bir kullanıcı, API üzerindeki `alias` işlevselliğini kullanarak ham depolanmış sürüme erişebilir. Normalde bu maskelenmiş alanlar `**********` değerini döndürür; ancak isteği `?alias[workaround]=redacted` şeklinde değiştirirsek, bunun yerine alanın düz metin değerini alabiliriz. Bu durum, hassas alanları görmemesi gereken kullanıcılardan veya rollerden bu alanları görüntüleme izninin tamamen kaldırılmasıyla önlenebilir. Bu güvenlik açığı 10.11.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- monospace directus10.11.0 ya da sonraki bir sürüm
- directus10.11.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| monospace directus | v < 10.11.0 | 10.11.0 |
| directusnpm | v < 10.11.0 | 10.11.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.