اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Directus الأقدم من 11.17.0
الوصف
تحتوي واجهة برمجة تطبيقات (API) إدارة الملفات في Directus على ثغرة في التحكم في الوصول تسمح للمستخدمين المصادق عليهم بالكتابة فوق ملفات تخص مستخدمين آخرين من خلال التلاعب بالمعلمة `filename disk` في نقطة النهاية `PATCH /files/{id}`. من خلال تعيين هذه القيمة لتتطابق مع مسار تخزين ملف مستخدم آخر، يمكن للمهاجم الكتابة فوق محتوى الملف والتلاعب بحقول البيانات الوصفية مثل `uploaded by` لإخفاء عملية التلاعب. وقد يؤدي ذلك إلى الكتابة غير المصرح بها فوق الملفات، واحتمال تنفيذ التعليمات البرمجية عن بُعد إذا كانت البنية الخلفية للتخزين مشتركة مع موقع الملحقات، وانتهاك سلامة البيانات.
التوصيات
التحديث إلى الإصدار 11.17.0 أو أحدث.