CVE-2025-55746
CVE-2025-55746 · Directus allows unauthenticated file upload and file modification due to lacking input sanitization
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Directus is a real-time API and App dashboard for managing SQL database content. From 10.8.0 to before 11.9.3, a vulnerability exists in the file update mechanism which allows an unauthenticated actor to modify existing files with arbitrary contents (without changes being applied to the files' database-resident metadata) and / or upload new files, with arbitrary content and extensions, which won't show up in the Directus UI. This vulnerability is fixed in 11.9.3.
CVSS 9.3 · Crítica · EPSS 1,4% · Código de explotación público · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
directus
- Versiones
- >= 10.8.0, < 11.9.3: Afectada
Sin corrección publicada
directus npm
- Intervalos de versiones afectados
- SEMVER: ≥ 10.8.0, < 11.9.3
Actualiza a 11.9.3
@directus/api npm
- Intervalos de versiones afectados
- SEMVER: ≥ 14.1.0, < 28.0.2
Actualiza a 28.0.2