Zaloguj się
Deutsch English Español Polski
Średnia

Directus' insufficient permission checks can enable unauthenticated users to manually trigger Flows

  • Ujawniono: 15.07.2025
  • Aktualizacja: 11.10.2026 10:22

Summary

Directus Flows with a manual trigger are not validating whether the user triggering the Flow has permissions to the items provided as payload to the Flow. Depending on what the Flow is set up to do this can lead to the Flow executing potential tasks on the attacker's behalf without authenticating.

Impact

Bad actors could execute the manual trigger Flows without authentication, or access rights to the said collection(s) or item(s).

Users with manual trigger Flows configured are impacted as these endpoints do not currently validate if the user has read access to directus_flows or to the relevant collection/items. The manual trigger Flows should have tighter security requirements as compared to webhook Flows where users are expected to perform do their own checks.

Workarounds

Users have to implement permission checks for read access to Flows and read access to relevant collection/items.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm directus < 11.9.0 11.9.0

Odnośniki

Ocena CVSS 6.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Słabość (CWE)
CWE-285, CWE-287
Platforma
npm
Paczka
directus
Ujawniono
15.07.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-7cvf-pxgp-42fc - CC BY 4.0

Historia podatności: directus

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (58) w archiwum
Wszystkich wpisów
58
Pierwsza → ostatnia
04.2022 07.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 19
  • Średnia 34
  • Niska 3

Ujawnienia w latach

Istotność:
  1. Directus: Authorization-dependent response served from unsegmented cache key
    Wysoka · 8.6 CVE-2026-61836 < 12.0.0 12.0.0
  2. Directus: SSRF Protection Bypass via 0.0.0.0 in File Import
    Wysoka · 7.7 CVE-2026-61835 < 12.0.0 12.0.0
  3. Directus: Authenticated Users Can Extract Concealed Fields via Aggregate Queries
    Wysoka · 8.1 CVE-2026-35442 < 11.17.0 11.17.0
  4. Directus: Unauthenticated Denial of Service via GraphQL Alias Amplification of Expensive Health Check Resolver
    Wysoka · 7.5 ghsa-6q22-g298-grjh < 11.17.0 11.17.0
  5. Directus: TUS Upload Authorization Bypass Allows Arbitrary File Overwrite
    Wysoka · 7.1 CVE-2026-35412 < 11.16.1 11.16.1
  6. Directus: SSRF Protection Bypass via IPv4-Mapped IPv6 Addresses in File Import
    Wysoka · 7.7 CVE-2026-35409 < 11.16.0 11.16.0
  7. Directus: Path Traversal and Broken Access Control in File Management API
    Wysoka · 8.5 CVE-2026-39942 < 11.17.0 11.17.0
  8. Directus: Missing Cross-Origin Opener Policy
    Wysoka · 8.7 CVE-2026-35408 < 11.17.0 11.17.0
  9. Directus allows unauthenticated file upload and file modification due to lacking input sanitization
    Krytyczna · 9.3 CVE-2025-55746 >= 10.8.0, < 11.9.3 11.9.3
  10. Directus' insufficient permission checks can enable unauthenticated users to manually trigger Flows ten wpis
    Średnia · 6.5 CVE-2025-53889 < 11.9.0 11.9.0
  11. Directus's webhook trigger flows can leak sensitive data
    Wysoka · 8.6 CVE-2025-30353 >= 9.12.0, < 11.5.0 11.5.0
  12. Directus allows unauthenticated access to WebSocket events and operations
    Wysoka · 7.5 CVE-2024-54151 >= 11.0.0, < 11.3.0 11.3.0
  13. Session is cached for OpenID and OAuth2 if `redirect` is not used
    Wysoka · 7.4 CVE-2024-45596 < 10.13.3, >= 11.0.0-rc.1, < 11.1.0 10.13.3, 11.1.0
  14. Directus Allows Single Sign-On User Enumeration
    Wysoka · 7.5 CVE-2024-39896 >= 9.11, < 10.13.0 10.13.0
  15. Directus incorrectly handles `_in` filter
    Wysoka · 6.3 CVE-2024-39701 >= 9.23.0, < 10.6.0 10.6.0
  16. Directus is soft-locked by providing a string value to random string util
    Wysoka · 7.5 CVE-2024-36128 < 10.11.2 10.11.2
  17. Directus has MySQL accent insensitive email matching
    Wysoka · 8.2 CVE-2024-27295 < 10.8.3 10.8.3
  18. Directus crashes on invalid WebSocket message
    Wysoka · 7.5 CVE-2023-45820 >= 10.4.0, < 10.6.2 10.6.2
  19. Directus affected by VM2 sandbox escape vulnerability
    Wysoka · 7.6 ghsa-22rr-f3p8-5gf8 < 10.6.0 10.6.0
  20. directus vulnerable to HTML Injection in Password Reset email to custom Reset URL
    Wysoka · 7.5 CVE-2023-27474 < 9.23.0 9.23.0
  21. Insecure default value for CORS configuration
    Krytyczna · 9.8 CVE-2022-26969 < 9.7.0 9.7.0
  22. Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in directus
    Wysoka · 8.8 CVE-2022-24814 < 9.7.0 9.7.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.