Zaloguj się
Deutsch English Español Polski
Średnia

Directus Lacks Session Tokens Invalidation

  • Ujawniono: 13.05.2024
  • Aktualizacja: 11.10.2026 10:22

Summary

Currently session tokens function like the other JWT tokens where they are not actually invalidated when logging out. The directus_session gets destroyed and the cookie gets deleted but if you captured the cookie value it will still work for the entire expiry time which is set to 1 day by default. Making it effectively a long lived unrevokable stateless token instead of the stateful session token it was meant to be. When authenticating a session token JWT, Directus should also check whether the associated directus_session both still exists and has not expired (although the token should expire at the same time or before the session) to ensure leaked tokens are not valid indefinitely.

Steps to reproduce

  • Copy the current session token from the cookie
  • Refresh and or log out
  • Use the saved session token to check if it is still valid

Impact

The lack of proper session expiration may improve the likely success of certain attacks. For example, a user might access a web site from a shared computer (such as at a library, Internet cafe, or open work environment). Incorrect token invalidation could allow an attacker to use the browser's history to access a Directus instance session previously accessed by the victim.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm directus >= 10.10.0, < 10.11.0 10.11.0

Odnośniki

Ocena CVSS 5.4/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:L/A:N
Słabość (CWE)
CWE-613
Platforma
npm
Paczka
directus
Ujawniono
13.05.2024
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-g65h-35f3-x2w3 - CC BY 4.0

Historia podatności: directus

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (58) w archiwum
Wszystkich wpisów
58
Pierwsza → ostatnia
04.2022 07.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 19
  • Średnia 34
  • Niska 3

Ujawnienia w latach

Istotność:
  1. Directus: Authorization-dependent response served from unsegmented cache key
    Wysoka · 8.6 CVE-2026-61836 < 12.0.0 12.0.0
  2. Directus: SSRF Protection Bypass via 0.0.0.0 in File Import
    Wysoka · 7.7 CVE-2026-61835 < 12.0.0 12.0.0
  3. Directus: Authenticated Users Can Extract Concealed Fields via Aggregate Queries
    Wysoka · 8.1 CVE-2026-35442 < 11.17.0 11.17.0
  4. Directus: Unauthenticated Denial of Service via GraphQL Alias Amplification of Expensive Health Check Resolver
    Wysoka · 7.5 ghsa-6q22-g298-grjh < 11.17.0 11.17.0
  5. Directus: TUS Upload Authorization Bypass Allows Arbitrary File Overwrite
    Wysoka · 7.1 CVE-2026-35412 < 11.16.1 11.16.1
  6. Directus: SSRF Protection Bypass via IPv4-Mapped IPv6 Addresses in File Import
    Wysoka · 7.7 CVE-2026-35409 < 11.16.0 11.16.0
  7. Directus: Path Traversal and Broken Access Control in File Management API
    Wysoka · 8.5 CVE-2026-39942 < 11.17.0 11.17.0
  8. Directus: Missing Cross-Origin Opener Policy
    Wysoka · 8.7 CVE-2026-35408 < 11.17.0 11.17.0
  9. Directus allows unauthenticated file upload and file modification due to lacking input sanitization
    Krytyczna · 9.3 CVE-2025-55746 >= 10.8.0, < 11.9.3 11.9.3
  10. Directus's webhook trigger flows can leak sensitive data
    Wysoka · 8.6 CVE-2025-30353 >= 9.12.0, < 11.5.0 11.5.0
  11. Directus allows unauthenticated access to WebSocket events and operations
    Wysoka · 7.5 CVE-2024-54151 >= 11.0.0, < 11.3.0 11.3.0
  12. Session is cached for OpenID and OAuth2 if `redirect` is not used
    Wysoka · 7.4 CVE-2024-45596 < 10.13.3, >= 11.0.0-rc.1, < 11.1.0 10.13.3, 11.1.0
  13. Directus Allows Single Sign-On User Enumeration
    Wysoka · 7.5 CVE-2024-39896 >= 9.11, < 10.13.0 10.13.0
  14. Directus incorrectly handles `_in` filter
    Wysoka · 6.3 CVE-2024-39701 >= 9.23.0, < 10.6.0 10.6.0
  15. Directus is soft-locked by providing a string value to random string util
    Wysoka · 7.5 CVE-2024-36128 < 10.11.2 10.11.2
  16. Directus Lacks Session Tokens Invalidation ten wpis
    Średnia · 5.4 CVE-2024-34709 >= 10.10.0, < 10.11.0 10.11.0
  17. Directus has MySQL accent insensitive email matching
    Wysoka · 8.2 CVE-2024-27295 < 10.8.3 10.8.3
  18. Directus crashes on invalid WebSocket message
    Wysoka · 7.5 CVE-2023-45820 >= 10.4.0, < 10.6.2 10.6.2
  19. Directus affected by VM2 sandbox escape vulnerability
    Wysoka · 7.6 ghsa-22rr-f3p8-5gf8 < 10.6.0 10.6.0
  20. directus vulnerable to HTML Injection in Password Reset email to custom Reset URL
    Wysoka · 7.5 CVE-2023-27474 < 9.23.0 9.23.0
  21. Insecure default value for CORS configuration
    Krytyczna · 9.8 CVE-2022-26969 < 9.7.0 9.7.0
  22. Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in directus
    Wysoka · 8.8 CVE-2022-24814 < 9.7.0 9.7.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.