Directus · Directus · CVE-2024-28238
**Nome do software vulnerável e versões afetadas**
Versões do Directus anteriores à 10.10.0
**Descrição**
O problema diz respeito à inclusão de tokens de sessão em URLs, especificamente ao acessar a página “/files”, onde um JWT é transmitido por meio de uma solicitação GET. Isso representa um risco à segurança, pois as URLs são frequentemente registradas em vários locais, como logs de servidores web e histórico do navegador. Invasores que obtiverem acesso a esses logs podem sequestrar sessões de usuários ativas, levando ao acesso não autorizado a informações confidenciais ou à realização de ações em nome do usuário.
**Recomendações**
Para versões anteriores à 10.10.0, atualize para a versão 10.10.0 para resolver o problema. Como solução temporária, considere restringir o acesso à página “/files” até que a atualização seja aplicada. Evite usar o token `JWT` na solicitação GET para a página “/files” até que o problema seja resolvido.