Zaloguj się
Deutsch English Español Polski
Wysoka

Directus's webhook trigger flows can leak sensitive data

  • Ujawniono: 26.03.2025
  • Aktualizacja: 11.10.2026 10:22

Describe the Bug

In Directus, when a Flow with the "Webhook" trigger and the "Data of Last Operation" response body encounters a ValidationError thrown by a failed condition operation, the API response includes sensitive data. This includes environmental variables, sensitive API keys, user accountability information, and operational data.

This issue poses a significant security risk, as any unintended exposure of this data could lead to potential misuse.

Image Image Image

To Reproduce

Steps to Reproduce:

  1. Create a Flow in Directus with:
    • Trigger: Webhook
    • Response Body: Data of Last Operation
  2. Add a condition that is likely to fail.
  3. Trigger the Flow with any input data that will fail the condition.
  4. Observe the API response, which includes sensitive information like:
    • Environmental variables ($env)
    • Authorization headers
    • User details under $accountability
    • Previous operational data.

Expected Behavior: In the event of a ValidationError, the API response should only contain relevant error messages and details, avoiding the exposure of sensitive data.

Actual Behavior: The API response includes sensitive information such as:

  • Environment keys (FLOWS_ENV_ALLOW_LIST)
  • User accountability (role, user, etc.)
  • Operational logs (current_payments, $last), which might contain private details.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm directus >= 9.12.0, < 11.5.0 11.5.0

Odnośniki

Ocena CVSS 8.6/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Słabość (CWE)
CWE-200
Platforma
npm
Paczka
directus
Ujawniono
26.03.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-fm3h-p9wm-h74h - CC BY 4.0

Historia podatności: directus

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (58) w archiwum
Wszystkich wpisów
58
Pierwsza → ostatnia
04.2022 07.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 19
  • Średnia 34
  • Niska 3

Ujawnienia w latach

Istotność:
  1. Directus: Authorization-dependent response served from unsegmented cache key
    Wysoka · 8.6 CVE-2026-61836 < 12.0.0 12.0.0
  2. Directus: SSRF Protection Bypass via 0.0.0.0 in File Import
    Wysoka · 7.7 CVE-2026-61835 < 12.0.0 12.0.0
  3. Directus: Authenticated Users Can Extract Concealed Fields via Aggregate Queries
    Wysoka · 8.1 CVE-2026-35442 < 11.17.0 11.17.0
  4. Directus: Unauthenticated Denial of Service via GraphQL Alias Amplification of Expensive Health Check Resolver
    Wysoka · 7.5 ghsa-6q22-g298-grjh < 11.17.0 11.17.0
  5. Directus: TUS Upload Authorization Bypass Allows Arbitrary File Overwrite
    Wysoka · 7.1 CVE-2026-35412 < 11.16.1 11.16.1
  6. Directus: SSRF Protection Bypass via IPv4-Mapped IPv6 Addresses in File Import
    Wysoka · 7.7 CVE-2026-35409 < 11.16.0 11.16.0
  7. Directus: Path Traversal and Broken Access Control in File Management API
    Wysoka · 8.5 CVE-2026-39942 < 11.17.0 11.17.0
  8. Directus: Missing Cross-Origin Opener Policy
    Wysoka · 8.7 CVE-2026-35408 < 11.17.0 11.17.0
  9. Directus allows unauthenticated file upload and file modification due to lacking input sanitization
    Krytyczna · 9.3 CVE-2025-55746 >= 10.8.0, < 11.9.3 11.9.3
  10. Directus's webhook trigger flows can leak sensitive data ten wpis
    Wysoka · 8.6 CVE-2025-30353 >= 9.12.0, < 11.5.0 11.5.0
  11. Directus allows unauthenticated access to WebSocket events and operations
    Wysoka · 7.5 CVE-2024-54151 >= 11.0.0, < 11.3.0 11.3.0
  12. Session is cached for OpenID and OAuth2 if `redirect` is not used
    Wysoka · 7.4 CVE-2024-45596 < 10.13.3, >= 11.0.0-rc.1, < 11.1.0 10.13.3, 11.1.0
  13. Directus Allows Single Sign-On User Enumeration
    Wysoka · 7.5 CVE-2024-39896 >= 9.11, < 10.13.0 10.13.0
  14. Directus incorrectly handles `_in` filter
    Wysoka · 6.3 CVE-2024-39701 >= 9.23.0, < 10.6.0 10.6.0
  15. Directus is soft-locked by providing a string value to random string util
    Wysoka · 7.5 CVE-2024-36128 < 10.11.2 10.11.2
  16. Directus has MySQL accent insensitive email matching
    Wysoka · 8.2 CVE-2024-27295 < 10.8.3 10.8.3
  17. Directus crashes on invalid WebSocket message
    Wysoka · 7.5 CVE-2023-45820 >= 10.4.0, < 10.6.2 10.6.2
  18. Directus affected by VM2 sandbox escape vulnerability
    Wysoka · 7.6 ghsa-22rr-f3p8-5gf8 < 10.6.0 10.6.0
  19. directus vulnerable to HTML Injection in Password Reset email to custom Reset URL
    Wysoka · 7.5 CVE-2023-27474 < 9.23.0 9.23.0
  20. Insecure default value for CORS configuration
    Krytyczna · 9.8 CVE-2022-26969 < 9.7.0 9.7.0
Pokaż więcej (1) Widać 20 z 21

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.