CVE-2026-39942 in Directus
Riassunto
di VulDB • 18/06/2026
Directus è un'API real-time e una dashboard per app dedicata alla gestione dei contenuti di database SQL. Prima della versione 11.17.0, l'endpoint PATCH /files/{id} accetta il parametro filename_disk controllato dall'utente. Impostando questo valore in modo che corrisponda al percorso di archiviazione del file di un altro utente, un attaccante può sovrascrivere i contenuti di tale file manipolando campi dei metadati come uploaded_by per oscurare la manomissione. Questa vulnerabilità è risolta nella versione 11.17.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.