PT-2022-18147 · Directus · Directus

Rijk Van Zanten · Publicado 2022-04-05 · Atualizado 2023-01-05 · CVE-2022-26969

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Directus anteriores à 9.7.0

Descrição

As configurações padrão de CORS ORIGIN e CORS ENABLED no Directus são verdadeiras, o que pode levar a acesso não autorizado em ambientes não controlados quando a configuração não foi alterada. Isso se deve ao fato de o valor padrão para as configurações CORS ENABLED e CORS ORIGIN ser muito permissivo.

Recomendações

Para versões anteriores à 9.7.0, configure as variáveis de ambiente CORS de acordo com o uso do seu projeto, em vez de deixá-las nos padrões permissivos.

Atualize para a versão 9.7.0 ou posterior, onde os valores padrão para CORS foram alterados para serem menos permissivos.

Correção

Enumeração de Fraquezas

CWE-942

Identificadores relacionados

CVE-2022-26969

GHSA-G27J-74FP-XFPR

Produtos afetados

Directus

Referências · 11

• https://github.com/directus/directus · Nota
• https://github.com/directus/directus/security/advisories/GHSA-g27j-74fp-xfpr · Nota
• https://github.com/directus/directus/blob/8daed9c41baeaf1d08c1e292bf9f0dcef65e48fb/docs/configuration/config-options.md · Nota
• https://github.com/directus/directus/pull/12022 · Correção
• https://github.com/directus/directus/releases/tag/v9.7.0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-26969 · Nota de Segurança
• https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS · Nota
• https://osv.dev/vulnerability/GHSA-g27j-74fp-xfpr · Aviso do Fabricante
• https://t.me/cvenotify/40689 · Publicação no Telegram
• https://security.snyk.io/vuln/SNYK-JS-DIRECTUS-2441822 · Nota
• https://osv.dev/vulnerability/CVE-2022-26969 · Aviso do Fabricante