CVE-2024-45596
Açıklama
Directus, SQL veritabanı içeriğini yönetmek için kullanılan gerçek zamanlı bir API ve Uygulama panelidir. Kimliği doğrulanmamış bir kullanıcı, kimlik doğrulama URL'sinin yönlendirme sorgu dizesini içermediği durumlarda, OpenID veya OAuth2 aracılığıyla son kimliği doğrulanmış kullanıcının kimlik bilgilerine erişebilir. Bu durum, hem OpenId hem de Oauth2 için ilgili uç noktada Directus'un, varsayılan olarak belirli koşulları karşılayan GET isteklerini önbelleğe almaya çalışan respond ara yazılımını (middleware) kullanmasından kaynaklanmaktadır. Ancak bu koşullar, kimliği doğrulanmamış bir isteğin kullanıcı kimlik bilgilerini döndürdüğü bu senaryoyu kapsamamaktadır. Bu güvenlik açığı 10.13.3 ve 11.1.0 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- monospace directus10.13.3, 11.1.0 ya da sonraki bir sürüm
- directus10.13.3, 11.1.0 ya da sonraki bir sürüm
- @directus/api21.0.1, 22.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| monospace directus | v < 10.13.3, 11.0.0 ≤ v < 11.1.0 | 10.13.3, 11.1.0 |
| directusnpm | v < 10.13.3, 11.0.0-rc.1 ≤ v < 11.1.0 | 10.13.3, 11.1.0 |
| @directus/apinpm | v < 21.0.1, 22.0.0 ≤ v < 22.2.0 | 21.0.1, 22.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.