PT-2026-31649 · Directus · Directus

Br41Nslug · Publicado 2026-04-04 · Atualizado 2026-04-09 · CVE-2026-39943

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions Directus versões anteriores a 11.17.0

Description Directus armazena registros de revisão em directus revisions sempre que os itens são criados ou atualizados. O código de snapshot de revisão não utilizava consistentemente o pipeline de sanitização prepareDelta, permitindo que campos confidenciais como tokens de usuário, segredos de autenticação de dois fatores, identificadores de autenticação externos, dados de autenticação, credenciais armazenadas e chaves de API de provedores de IA fossem armazenados em texto simples dentro dos registros de revisão. Isso pode permitir que um usuário ou conta de serviço com acesso de leitura a directus revisions recupere informações confidenciais, potencialmente levando à tomada de controle de conta ou uso não autorizado de chaves de API de terceiros.

Recommendations Atualize para a versão 11.17.0 ou posterior.

Correção

Cleartext Storage of Sensitive Information

Information Disclosure

Enumeração de Fraquezas

CWE-312

CWE-200

Identificadores relacionados

CVE-2026-39943

GHSA-MVV8-V4JJ-G47J

Produtos afetados

Directus

Referências · 6

• https://github.com/directus/directus · Nota
• https://github.com/directus/directus/security/advisories/GHSA-mvv8-v4jj-g47j · Aviso do Fabricante
• https://github.com/directus/directus/releases/tag/v11.17.0 · Nota
• https://twitter.com/CVEnew/status/2042302799002943895 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-mvv8-v4jj-g47j · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-39943 · Nota de Segurança