Directus Vulnerable to User Enumeration via Password Reset Timing Attack
Summary
A timing-based user enumeration vulnerability exists in the password reset functionality. When an invalid reset_url parameter is provided, the response time differs by approximately 500ms between existing and non-existing users, enabling reliable user enumeration.
Details
The password reset endpoint implements a timing protection mechanism to prevent user enumeration; however, URL validation executes before the timing protection is applied. This allows an attacker to distinguish between valid and invalid user accounts based on response timing differences.
Impact
This vulnerability violates user privacy and may facilitate targeted phishing attacks by allowing attackers to confirm the existence of user accounts.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | directus | < 11.14.1 | 11.14.1 |
| Paczka npm | @directus/api | < 32.2.0 | 32.2.0 |
Odnośniki
- https://github.com/directus/directus/security/advisories/GHSA-jr94-gj3h-c8rf
- https://nvd.nist.gov/vuln/detail/CVE-2026-26185
- https://github.com/directus/directus/pull/26485
- https://github.com/directus/directus/commit/e69aa7a5248c6e3e822cb1ac354dee295df90b2a
- https://github.com/directus/directus
- https://github.com/directus/directus/releases/tag/v11.14.1
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N- Słabość (CWE)
CWE-203- Platforma
- npm
- Paczka
directus, @directus/api- Ujawniono
- 12.02.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-jr94-gj3h-c8rf - CC BY 4.0
Historia podatności: @directus/api
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 12
- Pierwsza → ostatnia
- 07.2024 02.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 1
- Wysoka 2
- Średnia 8
- Niska 1
Ujawnienia w latach
- 2024: 4
- 2025: 6
- 2026: 2
-
Directus Vulnerable to User Enumeration via Password Reset Timing Attack ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.