CVE-2024-34709
Açıklama
Directus, SQL veritabanı içeriğini yönetmek için kullanılan gerçek zamanlı bir API ve Uygulama panelidir. 10.11.0 sürümünden önce, oturum belirteçleri diğer JWT belirteçleri gibi çalışmakta olup çıkış yapıldığında aslında geçersiz kılınmamaktadır. `directus_session` yok edilmekte ve çerez silinmektedir ancak çerez değeri ele geçirilirse, varsayılan olarak 1 gün şeklinde ayarlanan tüm sona erme süresi boyunca çalışmaya devam edecektir. Bu durum, onu olması gereken durum bilgili (stateful) oturum belirteci yerine, etkili olarak uzun ömürlü ve geri alınamaz durumsuz (stateless) bir belirtece dönüştürmektedir. Bu güvenlik açığı 10.11.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- monospace directus10.11.0 ya da sonraki bir sürüm
- directus10.11.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| monospace directus | v < 10.11.0 | 10.11.0 |
| directusnpm | 10.10.0 ≤ v < 10.11.0 | 10.11.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.