CVE-2024-47822 in Directus
Résumé
par VulDB • 29/06/2026
Directus est un tableau de bord API et application en temps réel pour la gestion du contenu des bases de données SQL. Les jetons d'accès contenus dans les chaînes de requête ne sont pas masqués (redacted) et peuvent être exposés dans les journaux système, qui peuvent ensuite être persistés. Le jeton d'accès présent dans `req.query` n'est pas masqué lorsque le paramètre `LOG_STYLE` est défini sur `raw`. Si ces journaux ne sont pas correctement assainis ou protégés, un attaquant y ayant accès pourrait potentiellement prendre le contrôle administratif, entraînant un accès et une manipulation non autorisés des données. Cela affecte les systèmes où le paramètre `LOG_STYLE` est défini sur `raw`. Le jeton `access_token` dans la chaîne de requête peut potentiellement être un jeton statique à longue durée de vie. Les utilisateurs dont les systèmes sont impactés doivent faire tourner (révoquer et remplacer) leurs jetons statiques s'ils ont été fournis via une chaîne de requête. Cette vulnérabilité a été corrigée dans la version 10.13.2 et les versions ultérieures. Il est conseillé aux utilisateurs d'effectuer une mise à niveau. Aucune solution de contournement n'est connue pour cette vulnérabilité.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.