Średnia

Directus has an HTML Injection in Comment

Ujawniono: 05.12.2024
Aktualizacja: 11.10.2026 10:22

Summary

The Comment feature has implemented a filter to prevent users from adding restricted characters, such as HTML tags. However, this filter operates on the client-side, which can be bypassed, making the application vulnerable to HTML Injection.

Details

The Comment feature implements a character filter on the client-side, this can be bypassed by directly sending a request to the endpoint.

Example Request:

PATCH /activity/comment/3 HTTP/2
Host: directus.local

{
  "comment": "<h1>TEST <p style=\"color:red\">HTML INJECTION</p> <a href=\"//evil.com\">Test Link</a></h1>"
}

Example Response:

{
  "data": {
    "id": 3,
    "action": "comment",
    "user": "288fdccc-399a-40a1-ac63-811bf62e6a18",
    "timestamp": "2023-09-06T02:23:40.740Z",
    "ip": "10.42.0.1",
    "user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.0.0 Safari/537.36",
    "collection": "directus_files",
    "item": "7247dda1-c386-4e7a-8121-7e9c1a42c15a",
    "comment": "<h1>TEST <p style=\"color:red\">HTML INJECTION</p> <a href=\"//evil.com\">Test Link</a></h1>",
    "origin": "https://directus.local",
    "revisions": []
  }
}

Example Result:

Screenshot 2023-09-06 094536

Impact

With the introduction of session cookies this issue has become exploitable as a malicious script is now able to do authenticated actions on the current users behalf.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	directus	>= 10.10.0, < 10.13.4, >= 11.0.0-rc.1, < 11.2.2	10.13.4, 11.2.2
Paczka npm	@directus/app	>= 11.0.0, < 13.3.1	13.3.1

Odnośniki

Ocena CVSS 5.7/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N
Słabość (CWE): CWE-80
Platforma: npm
Paczka: directus, @directus/app
Ujawniono: 05.12.2024
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-r6wx-627v-gh2f - CC BY 4.0

Historia podatności: @directus/app

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 12.2024 01.2025
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Średnia 2

Ujawnienia w latach

2024: 1
2025: 1
2026: 0

23.01.2025

Directus allows privilege escalation using Share feature

Średnia · 5.0 CVE-2025-24353 < 13.3.1 13.3.1
05.12.2024

Directus has an HTML Injection in Comment ten wpis

Średnia · 5.7 CVE-2024-54128 >= 11.0.0, < 13.3.1 13.3.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację