Directus · Directus · CVE-2024-39896
**Nome do software vulnerável e versões afetadas**
Versões do Directus anteriores à 10.13.0
**Descrição**
A vulnerabilidade permite a enumeração de usuários SSO existentes na instância quando se utiliza provedores SSO em combinação com autenticação local. Isso é possível porque, se um endereço de e-mail existir no Directus e pertencer a um provedor SSO conhecido, será gerado um erro “útil” indicando que o usuário pertence a outro provedor.
**Recomendações**
Para versões anteriores à 10.13.0, atualize para a versão 10.13.0 para resolver o problema.
Como solução alternativa temporária, considere desativar o login local definindo a variável de ambiente `AUTH DISABLE DEFAULT` como “true” quando estiver usando apenas SSO para autenticação.