CVE-2024-39895
Açıklama
Directus, SQL veritabanı içeriğini yönetmek için kullanılan gerçek zamanlı bir API ve Uygulama panelidir. GraphQL'de alan çoğaltma yoluyla gerçekleştirilen hizmet reddi (DoS) saldırısı, bir saldırganın tek bir sorguda aynı alanı defalarca talep ederek sunucuyu aşırı yüklemek için GraphQL'in esnekliğini kullandığı bir saldırı türüdür. Bu durum, sunucunun gereksiz hesaplamalar yapmasına ve aşırı kaynak tüketmesine neden olarak meşru kullanıcılar için hizmet reddine yol açabilir. Bir panelde oluşturulan grafikler görselleştirilirken /graphql uç noktasına istekler gönderilir. Gönderilen veriler değiştirilerek ve alanlar birçok kez çoğaltılarak bir DoS saldırısı gerçekleştirilebilir. Bu güvenlik açığı 10.12.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- monospace directus10.12.0 ya da sonraki bir sürüm
- @directus/env1.1.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| monospace directus | v < 10.12.0 | 10.12.0 |
| @directus/envnpm | v < 1.1.6 | 1.1.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.