CVE-2026-39942 in Directus
요약
\~에 의해 VulDB • 2026. 06. 12.
Directus는 SQL 데이터베이스 콘텐츠를 관리하기 위한 실시간 API 및 앱 대시보드입니다. 버전 11.17.0 이전에서는 PATCH /files/{id} 엔드포인트가 사용자 제어 가능한 filename_disk 매개변수를 허용합니다. 공격자가 이 값을 다른 사용자의 파일 저장 경로와 일치하도록 설정하면, uploaded_by와 같은 메타데이터 필드를 조작하여 변조를 숨기면서 해당 파일의 내용을 덮어쓸 수 있습니다. 이 취약점은 11.17.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.