CVE-2026-61835

Nome do Software Vulnerável e Versões Afetadas Directus versões anteriores a 12.0.0

Description Um usuário autenticado com permissões de upload de arquivos pode burlar as proteções de Server-Side Request Forgery (SSRF)—uma falha onde um servidor é enganado para fazer requisições a um local não pretendido—através do recurso de importação de arquivos via URL. Isso ocorre porque o sistema trata 0.0.0.0 como uma palavra-chave para interfaces locais, mas não bloqueia o endereço literal. Em sistemas Linux e macOS, isso permite que o servidor alcance o localhost através do endpoint '/files/import', possibilitando a recuperação de respostas de serviços internos como arquivos para download.

Recommendations Atualize para a versão 12.0.0. Restrinja o acesso ao endpoint '/files/import' para usuários que não necessitem estritamente de direitos de upload de arquivos.