Iniciar sesión
Deutsch English Español Polski
Alta

Directus's webhook trigger flows can leak sensitive data

  • Publicada: 26.03.2025
  • Actualizado: 11.10.2026 10:22

Describe the Bug

In Directus, when a Flow with the "Webhook" trigger and the "Data of Last Operation" response body encounters a ValidationError thrown by a failed condition operation, the API response includes sensitive data. This includes environmental variables, sensitive API keys, user accountability information, and operational data.

This issue poses a significant security risk, as any unintended exposure of this data could lead to potential misuse.

Image Image Image

To Reproduce

Steps to Reproduce:

  1. Create a Flow in Directus with:
    • Trigger: Webhook
    • Response Body: Data of Last Operation
  2. Add a condition that is likely to fail.
  3. Trigger the Flow with any input data that will fail the condition.
  4. Observe the API response, which includes sensitive information like:
    • Environmental variables ($env)
    • Authorization headers
    • User details under $accountability
    • Previous operational data.

Expected Behavior: In the event of a ValidationError, the API response should only contain relevant error messages and details, avoiding the exposure of sensitive data.

Actual Behavior: The API response includes sensitive information such as:

  • Environment keys (FLOWS_ENV_ALLOW_LIST)
  • User accountability (role, user, etc.)
  • Operational logs (current_payments, $last), which might contain private details.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de npm directus >= 9.12.0, < 11.5.0 11.5.0

Referencias

Puntuación CVSS 8.6/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Debilidad (CWE)
CWE-200
Plataforma
npm
Paquete
directus
Publicada
26.03.2025
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-fm3h-p9wm-h74h - CC BY 4.0

Historial de vulnerabilidades: directus

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (58) en el archivo
Entradas en total
58
Primera → última
04.2022 07.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 2
  • Alta 19
  • Media 34
  • Baja 3

Divulgaciones por año

Gravedad:
  1. Directus: Authorization-dependent response served from unsegmented cache key
    Alta · 8.6 CVE-2026-61836 < 12.0.0 12.0.0
  2. Directus: SSRF Protection Bypass via 0.0.0.0 in File Import
    Alta · 7.7 CVE-2026-61835 < 12.0.0 12.0.0
  3. Directus: Authenticated Users Can Extract Concealed Fields via Aggregate Queries
    Alta · 8.1 CVE-2026-35442 < 11.17.0 11.17.0
  4. Directus: Unauthenticated Denial of Service via GraphQL Alias Amplification of Expensive Health Check Resolver
    Alta · 7.5 ghsa-6q22-g298-grjh < 11.17.0 11.17.0
  5. Directus: TUS Upload Authorization Bypass Allows Arbitrary File Overwrite
    Alta · 7.1 CVE-2026-35412 < 11.16.1 11.16.1
  6. Directus: SSRF Protection Bypass via IPv4-Mapped IPv6 Addresses in File Import
    Alta · 7.7 CVE-2026-35409 < 11.16.0 11.16.0
  7. Directus: Path Traversal and Broken Access Control in File Management API
    Alta · 8.5 CVE-2026-39942 < 11.17.0 11.17.0
  8. Directus: Missing Cross-Origin Opener Policy
    Alta · 8.7 CVE-2026-35408 < 11.17.0 11.17.0
  9. Directus allows unauthenticated file upload and file modification due to lacking input sanitization
    Crítica · 9.3 CVE-2025-55746 >= 10.8.0, < 11.9.3 11.9.3
  10. Directus's webhook trigger flows can leak sensitive data esta entrada
    Alta · 8.6 CVE-2025-30353 >= 9.12.0, < 11.5.0 11.5.0
  11. Directus allows unauthenticated access to WebSocket events and operations
    Alta · 7.5 CVE-2024-54151 >= 11.0.0, < 11.3.0 11.3.0
  12. Session is cached for OpenID and OAuth2 if `redirect` is not used
    Alta · 7.4 CVE-2024-45596 < 10.13.3, >= 11.0.0-rc.1, < 11.1.0 10.13.3, 11.1.0
  13. Directus Allows Single Sign-On User Enumeration
    Alta · 7.5 CVE-2024-39896 >= 9.11, < 10.13.0 10.13.0
  14. Directus incorrectly handles `_in` filter
    Alta · 6.3 CVE-2024-39701 >= 9.23.0, < 10.6.0 10.6.0
  15. Directus is soft-locked by providing a string value to random string util
    Alta · 7.5 CVE-2024-36128 < 10.11.2 10.11.2
  16. Directus has MySQL accent insensitive email matching
    Alta · 8.2 CVE-2024-27295 < 10.8.3 10.8.3
  17. Directus crashes on invalid WebSocket message
    Alta · 7.5 CVE-2023-45820 >= 10.4.0, < 10.6.2 10.6.2
  18. Directus affected by VM2 sandbox escape vulnerability
    Alta · 7.6 ghsa-22rr-f3p8-5gf8 < 10.6.0 10.6.0
  19. directus vulnerable to HTML Injection in Password Reset email to custom Reset URL
    Alta · 7.5 CVE-2023-27474 < 9.23.0 9.23.0
  20. Insecure default value for CORS configuration
    Crítica · 9.8 CVE-2022-26969 < 9.7.0 9.7.0
  21. Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in directus
    Alta · 8.8 CVE-2022-24814 < 9.7.0 9.7.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.