Zaloguj się
Deutsch English Español Polski
Krytyczna

Insecure default value for CORS configuration

  • Ujawniono: 05.04.2022
  • Aktualizacja: 11.10.2026 10:22

Impact

The default value for the CORS_ENABLED and CORS_ORIGIN configuration was set to be very permissive by default. This could lead to unauthorized access in uncontrolled environments when the configuration hasn't been changed.

Patches

The default values for CORS have been changed in https://github.com/directus/directus/pull/12022 which is released under 9.7.0

Workarounds

Configure the CORS environment variables to match your project's usage, rather than leaving them at the (permissive) defaults.

For more information

If you have any questions or comments about this advisory:

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm directus < 9.7.0 9.7.0

Odnośniki

Ocena CVSS 9.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-942
Platforma
npm
Paczka
directus
Ujawniono
05.04.2022
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-g27j-74fp-xfpr - CC BY 4.0

Historia podatności: directus

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (58) w archiwum
Wszystkich wpisów
58
Pierwsza → ostatnia
04.2022 07.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 19
  • Średnia 34
  • Niska 3

Ujawnienia w latach

Istotność:
  1. Directus: Authorization-dependent response served from unsegmented cache key
    Wysoka · 8.6 CVE-2026-61836 < 12.0.0 12.0.0
  2. Directus: SSRF Protection Bypass via 0.0.0.0 in File Import
    Wysoka · 7.7 CVE-2026-61835 < 12.0.0 12.0.0
  3. Directus: Authenticated Users Can Extract Concealed Fields via Aggregate Queries
    Wysoka · 8.1 CVE-2026-35442 < 11.17.0 11.17.0
  4. Directus: Unauthenticated Denial of Service via GraphQL Alias Amplification of Expensive Health Check Resolver
    Wysoka · 7.5 ghsa-6q22-g298-grjh < 11.17.0 11.17.0
  5. Directus: TUS Upload Authorization Bypass Allows Arbitrary File Overwrite
    Wysoka · 7.1 CVE-2026-35412 < 11.16.1 11.16.1
  6. Directus: SSRF Protection Bypass via IPv4-Mapped IPv6 Addresses in File Import
    Wysoka · 7.7 CVE-2026-35409 < 11.16.0 11.16.0
  7. Directus: Path Traversal and Broken Access Control in File Management API
    Wysoka · 8.5 CVE-2026-39942 < 11.17.0 11.17.0
  8. Directus: Missing Cross-Origin Opener Policy
    Wysoka · 8.7 CVE-2026-35408 < 11.17.0 11.17.0
  9. Directus allows unauthenticated file upload and file modification due to lacking input sanitization
    Krytyczna · 9.3 CVE-2025-55746 >= 10.8.0, < 11.9.3 11.9.3
  10. Directus's webhook trigger flows can leak sensitive data
    Wysoka · 8.6 CVE-2025-30353 >= 9.12.0, < 11.5.0 11.5.0
  11. Directus allows unauthenticated access to WebSocket events and operations
    Wysoka · 7.5 CVE-2024-54151 >= 11.0.0, < 11.3.0 11.3.0
  12. Session is cached for OpenID and OAuth2 if `redirect` is not used
    Wysoka · 7.4 CVE-2024-45596 < 10.13.3, >= 11.0.0-rc.1, < 11.1.0 10.13.3, 11.1.0
  13. Directus Allows Single Sign-On User Enumeration
    Wysoka · 7.5 CVE-2024-39896 >= 9.11, < 10.13.0 10.13.0
  14. Directus incorrectly handles `_in` filter
    Wysoka · 6.3 CVE-2024-39701 >= 9.23.0, < 10.6.0 10.6.0
  15. Directus is soft-locked by providing a string value to random string util
    Wysoka · 7.5 CVE-2024-36128 < 10.11.2 10.11.2
  16. Directus has MySQL accent insensitive email matching
    Wysoka · 8.2 CVE-2024-27295 < 10.8.3 10.8.3
  17. Directus crashes on invalid WebSocket message
    Wysoka · 7.5 CVE-2023-45820 >= 10.4.0, < 10.6.2 10.6.2
  18. Directus affected by VM2 sandbox escape vulnerability
    Wysoka · 7.6 ghsa-22rr-f3p8-5gf8 < 10.6.0 10.6.0
  19. directus vulnerable to HTML Injection in Password Reset email to custom Reset URL
    Wysoka · 7.5 CVE-2023-27474 < 9.23.0 9.23.0
  20. Insecure default value for CORS configuration ten wpis
    Krytyczna · 9.8 CVE-2022-26969 < 9.7.0 9.7.0
Pokaż więcej (1) Widać 20 z 21

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.