PT-2025-46912 · Directus · Directus

Publicado 2025-11-13 · Atualizado 2025-11-17 · CVE-2025-64747

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Versões do Directus anteriores à 11.13.0

Descrição O Directus é um painel de API e Aplicativo em tempo real para gerenciar conteúdo de banco de dados SQL. Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado que permite a usuários com as permissões upload files e edit item injetar JavaScript malicioso através da interface do Block Editor. Atacantes podem contornar as restrições de Content Security Policy (CSP) combinando uploads de arquivos com atributos srcdoc de iframe, resultando na execução persistente de XSS.

Recomendações Atualize para a versão 11.13.0 ou posterior.

Exploit

Correção

XSS

RCE

Enumeração de Fraquezas

CWE-79

CWE-20

Identificadores relacionados

CVE-2025-64747

GHSA-VV2V-PW69-8CRF

Produtos afetados

Directus

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/64xxx/CVE-2025-64747.json · Exploit
• https://github.com/directus/directus · Nota
• https://github.com/directus/directus/security/advisories/GHSA-vv2v-pw69-8crf · Aviso do Fabricante
• https://github.com/directus/directus/commit/d23525317f0780f04aa1fe7a99171a358e43cb2e · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2025-64747 · Nota de Segurança
• https://t.me/cveNotify/142747 · Publicação no Telegram
• https://reddit.com/r/VulnMatter/comments/1oxcbz9/resumen_diario_de_vulnerabilidades_14112025 · Publicação no Reddit
• https://t.me/CVEtracker/37297 · Publicação no Telegram
• https://reddit.com/r/VulnMatter/comments/1ozp1t6/resumen_diario_de_vulnerabilidades_17112025 · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2025-64747 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1989184387250807229 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-vv2v-pw69-8crf · Aviso do Fabricante