PT-2026-144919

CVE-2026-126539

Publicado

2026-11-11

Atualizado

2026-11-11

Descrição por

CVSS 4.0

9.2

Crítica

MétricasAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Directus versões anteriores a 12.1.0

Description Existe uma falha de bypass de autorização na interface REST do WebSocket. Atacantes não autenticados podem ignorar as verificações de permissão enviando uma mensagem de autenticação falha em conexões WebSocket em modo público. Ao fornecer um token inválido, a função handleAuthRequest() define a responsabilidade como nula, permitindo que o atacante leia, crie, atualize ou exclua registros em qualquer coleção definida pelo usuário.

Recommendations Atualizar para a versão 12.1.0.

Explorabilidade

Exploit

Correção

Pesquisadores

Jacobbrackett

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-636: Not Failing Securely (\'Failing Open\')

Identificadores relacionados

CVE-2026-126539