CVE-2024-47822

Directus, SQL veritabanı içeriğini yönetmek için kullanılan gerçek zamanlı bir API ve Uygulama panelidir. Sorgu dizilerinden gelen erişim belirteçleri maskelenmemektedir ve kalıcı olabilen sistem günlüklerinde potansiyel olarak açığa çıkmaktadır. `LOG_STYLE`, `raw` olarak ayarlandığında `req.query` içindeki erişim belirteci maskelenmez. Bu günlükler uygun şekilde temizlenmemiş veya korunmamışsa, bunlara erişimi olan bir saldırgan potansiyel olarak yönetici kontrolü sağlayabilir; bu da yetkisiz veri erişimine ve manipülasyonuna yol açabilir. Bu durum, `LOG_STYLE` değerinin `raw` olarak ayarlandığı sistemleri etkilemektedir. Sorgudaki `access_token` potansiyel olarak uzun ömürlü statik bir belirteç olabilir. Etkilenen sistemlere sahip kullanıcılar, sorgu dizisi kullanılarak sağlanan statik belirteçlerini yenilemelidir. Bu güvenlik açığı 10.13.2 sürümünde ve sonraki sürümlerde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.