p PatchFirst

CVE-2026-26185

CVE-2026-26185 · Directus Affected by User Enumeration via Password Reset Timing Attack

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Directus is a real-time API and App dashboard for managing SQL database content. Before 11.14.1, a timing-based user enumeration vulnerability exists in the password reset functionality. When an invalid reset_url parameter is provided, the response time differs by approximately 500ms between existing and non-existing users, enabling reliable user enumeration. This vulnerability is fixed in 11.14.1.

CVSS 5.3 · Mittel · EPSS 0,4% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • directus

    Softwareversionen
    • < 11.14.1: Betroffen

    Keine Korrektur veröffentlicht

  • @directus/api

    Softwareversionen
    • < 32.2.0: Betroffen

    Keine Korrektur veröffentlicht

  • directus npm

    Betroffene Versionsbereiche
    • SEMVER: < 11.14.1

    Auf 11.14.1 aktualisieren

  • @directus/api npm

    Betroffene Versionsbereiche
    • SEMVER: < 32.2.0

    Auf 32.2.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →