PT-2026-30330
CVE-2026-35413
·
تاريخ النشر
2026-04-04
·
تاريخ التحديث
2026-04-06
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Directus (لم يتم تحديد الإصدارات المتأثرة)
الوصف
عند تكوين
GRAPHQL INTROSPECTION=false، يقوم Directus بحظر استعلامات الاستبطان القياسية في GraphQL، لكن مُحلل server specs graphql الخاص بنقطة النهاية /graphql/system يُرجع تمثيلًا SDL مكافئًا للمخطط. يؤدي ذلك إلى تجاوز ضوابط الاستبطان، مما يعرض بنية المخطط (أسماء المجموعات، وأسماء الحقول، والأنواع، والعلاقات) للمستخدمين غير المصادق عليهم على مستوى الأذونات العامة، وللمستخدمين المصادق عليهم على مستوى الأذونات المسموح لهم بها. كان لدى المسؤولين الذين قاموا بتعيين GRAPHQL INTROSPECTION=false شعور زائف بالأمان، حيث ظلت معلومات المخطط متاحة عبر نقطة نهاية SDL.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾