PT-2021-17066 · Directus · Directus
Arnaud Courty
+1
·
Publicado
2021-02-23
·
Atualizado
2024-08-03
·
CVE-2021-26593
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Directus 8.x a 8.8.1
Descrição
A vulnerabilidade permite que um invasor visualize todos os usuários no CMS utilizando o endpoint da API “/users/{id}”. A cada chamada, ele recebe em resposta muitas informações sobre o usuário, como endereço de e-mail, nome e sobrenome, mas também a senha secreta para a autenticação de dois fatores (2FA), caso exista. Essa senha secreta pode ser regenerada. A vulnerabilidade afeta apenas produtos que não são mais suportados pelo mantenedor.
Recomendações
Para as versões 8.x a 8.8.1, como solução temporária, considere desativar o endpoint da API “/users/{id}” até que um patch esteja disponível. Restrinja o acesso às informações do usuário para minimizar o risco de exploração. Evite usar a variável
id no endpoint da API afetado até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Exploit
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Directus