CVE-2026-35413
Açıklama
Directus, SQL veritabanı içeriğini yönetmek için kullanılan gerçek zamanlı bir API ve Uygulama panelidir. 11.16.1 sürümünden önce, GRAPHQL_INTROSPECTION=false olarak yapılandırıldığında, Directus standart GraphQL iç gözlem (introspection) sorgularını (__schema, __type) doğru şekilde engellemektedir. Ancak, /graphql/system uç noktasındaki server_specs_graphql çözücü (resolver), şemanın eşdeğer bir SDL temsilini döndürmekteydi ve aynı kısıtlamaya tabi değildi. Bu durum, iç gözlem kontrolünün atlatılmasına izin vererek şema yapısının (koleksiyon adları, alan adları, türler ve ilişkiler) kimlik doğrulaması yapılmamış kullanıcılara genel yetki düzeyinde, kimlik doğrulaması yapmış kullanıcılara ise kendi izin verilen yetki düzeylerinde ifşa edilmesine neden olmuştur. Bu güvenlik açığı 11.16.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- monospace directus11.16.1 ya da sonraki bir sürüm
- directus11.16.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| monospace directus | v < 11.16.1 | 11.16.1 |
| directusnpm | v < 11.16.1 | 11.16.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.