PT-2025-46914 · Directus · Directus

CVE-2025-64748 · Publicado 2025-11-13 · Atualizado 2026-04-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Directus anteriores à 11.13.0

Descrição O Directus permite que usuários autenticados pesquisem campos ocultos ou sensíveis quando possuem permissões de leitura. Embora os valores reais sejam mascarados, correspondências bem-sucedidas podem ser detectadas por meio dos registros retornados, possibilitando ataques de enumeração em dados sensíveis. A vulnerabilidade afeta campos como token, tfa secret e password dentro da coleção directus users. Os atacantes podem potencialmente verificar tokens de autenticação válidos, identificar contas que utilizam senhas comprometidas conhecidas e confirmar a existência de valores sensíveis. As permissões de acesso padrão do aplicativo podem expor automaticamente implantações que utilizam configurações recomendadas.

Recomendações Atualize para a versão 11.13.0 ou posterior do Directus.

Exploit

Correção

Enumeração de Fraquezas

CWE-201

Identificadores relacionados

CVE-2025-64748

GHSA-8JPW-GPR4-8CMH

Produtos afetados

Directus

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/64xxx/CVE-2025-64748.json · Exploit
• https://github.com/directus/directus · Nota
• https://github.com/directus/directus/security/advisories/GHSA-8jpw-gpr4-8cmh · Aviso do Fabricante
• https://github.com/directus/directus/commit/7737d56e096f95edfbdf861a3c08999ad31ce204 · Correção
• https://t.me/CVEtracker/37298 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-64748 · Nota de Segurança
• https://t.me/cveNotify/142748 · Publicação no Telegram
• https://t.me/cveNotify/145131 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1989186946984223188 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-64748 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-8jpw-gpr4-8cmh · Aviso do Fabricante
• https://twitter.com/dailycve/status/2040715005197275327 · Publicação no Twitter