Zehir

**Nome do software vulnerável e versões afetadas** Versões do Directus anteriores à 10.11.2 **Descrição** O Directus é uma API em tempo real e um painel de controle de aplicativos para gerenciamento de conteúdo de bancos de dados SQL. Fornecer um valor de comprimento não numérico ao utilitário de geração de strings aleatórias criará um problema de memória, comprometendo a capacidade de gerar strings aleatórias em toda a plataforma. Isso gera uma situação de negação de serviço em que as sessões conectadas não podem mais ser atualizadas, pois dependem da capacidade de gerar um ID de sessão aleatório. O problema pode ser desencadeado ao acessar o endpoint “GET http://localhost:8055/utils/random/string” com um valor de comprimento não numérico, como ‘foo’. Depois disso, todas as chamadas para “GET http://localhost:8055/utils/random/string” retornarão uma string vazia em vez de uma string aleatória, fazendo com que as atualizações de autenticação falhem para o aplicativo e a API. **Recomendações** Para resolver o problema, atualize para a versão 10.11.2 ou posterior. Como solução alternativa temporária, considere restringir o acesso ao endpoint vulnerável “utils/random/string” até que um patch esteja disponível. Evite usar valores de comprimento não numéricos no parâmetro `length` do endpoint da API afetado até que o problema seja resolvido.