PT-2026-31648 · Directus · Directus

Odgrso + 2 · Publicado 2026-04-04 · Atualizado 2026-04-09 · CVE-2026-39942

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Directus versões anteriores a 11.17.0

Description A API de gerenciamento de arquivos do Directus contém um problema de controle de acesso que permite que usuários autenticados sobrescrevam arquivos pertencentes a outros usuários manipulando o parâmetro filename disk no endpoint PATCH /files/{id}. Ao definir este valor para corresponder ao caminho de armazenamento de outro arquivo de usuário, um invasor pode sobrescrever o conteúdo do arquivo e manipular campos de metadados como uploaded by para ocultar a adulteração. Isso pode levar a sobrescritas de arquivos não autorizadas, potencial execução remota de código se o backend de armazenamento for compartilhado com o local das extensões e comprometimento da integridade dos dados.

Recommendations Atualize para a versão 11.17.0 ou posterior.

Correção

Improper Access Control

IDOR

Enumeração de Fraquezas

CWE-915

CWE-284

CWE-639

Identificadores relacionados

CVE-2026-39942

GHSA-393C-P46R-7C95

Produtos afetados

Directus

Referências · 7

• https://github.com/directus/directus · Nota
• https://github.com/directus/directus/releases/tag/v11.17.0 · Nota
• https://github.com/directus/directus/security/advisories/GHSA-393c-p46r-7c95 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2042302800034742696 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-39942 · Nota de Segurança
• https://twitter.com/CveFindCom/status/2042297266208116748 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-393c-p46r-7c95 · Aviso do Fabricante