Zaloguj się
Deutsch English Español Polski
Średnia

Directus Vulnerable to User Enumeration via Password Reset Timing Attack

  • Ujawniono: 12.02.2026
  • Aktualizacja: 11.10.2026 10:22

Summary

A timing-based user enumeration vulnerability exists in the password reset functionality. When an invalid reset_url parameter is provided, the response time differs by approximately 500ms between existing and non-existing users, enabling reliable user enumeration.

Details

The password reset endpoint implements a timing protection mechanism to prevent user enumeration; however, URL validation executes before the timing protection is applied. This allows an attacker to distinguish between valid and invalid user accounts based on response timing differences.

Impact

This vulnerability violates user privacy and may facilitate targeted phishing attacks by allowing attackers to confirm the existence of user accounts.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm directus < 11.14.1 11.14.1
Paczka npm @directus/api < 32.2.0 32.2.0

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-203
Platforma
npm
Paczka
directus, @directus/api
Ujawniono
12.02.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-jr94-gj3h-c8rf - CC BY 4.0

Historia podatności: directus

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (58) w archiwum
Wszystkich wpisów
58
Pierwsza → ostatnia
04.2022 07.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 19
  • Średnia 34
  • Niska 3

Ujawnienia w latach

Istotność:
  1. Directus: Authorization-dependent response served from unsegmented cache key
    Wysoka · 8.6 CVE-2026-61836 < 12.0.0 12.0.0
  2. Directus: SSRF Protection Bypass via 0.0.0.0 in File Import
    Wysoka · 7.7 CVE-2026-61835 < 12.0.0 12.0.0
  3. Directus: Authenticated Users Can Extract Concealed Fields via Aggregate Queries
    Wysoka · 8.1 CVE-2026-35442 < 11.17.0 11.17.0
  4. Directus: Unauthenticated Denial of Service via GraphQL Alias Amplification of Expensive Health Check Resolver
    Wysoka · 7.5 ghsa-6q22-g298-grjh < 11.17.0 11.17.0
  5. Directus: TUS Upload Authorization Bypass Allows Arbitrary File Overwrite
    Wysoka · 7.1 CVE-2026-35412 < 11.16.1 11.16.1
  6. Directus: SSRF Protection Bypass via IPv4-Mapped IPv6 Addresses in File Import
    Wysoka · 7.7 CVE-2026-35409 < 11.16.0 11.16.0
  7. Directus: Path Traversal and Broken Access Control in File Management API
    Wysoka · 8.5 CVE-2026-39942 < 11.17.0 11.17.0
  8. Directus: Missing Cross-Origin Opener Policy
    Wysoka · 8.7 CVE-2026-35408 < 11.17.0 11.17.0
  9. Directus Vulnerable to User Enumeration via Password Reset Timing Attack ten wpis
    Średnia · 5.3 CVE-2026-26185 < 11.14.1 11.14.1
  10. Directus allows unauthenticated file upload and file modification due to lacking input sanitization
    Krytyczna · 9.3 CVE-2025-55746 >= 10.8.0, < 11.9.3 11.9.3
  11. Directus's webhook trigger flows can leak sensitive data
    Wysoka · 8.6 CVE-2025-30353 >= 9.12.0, < 11.5.0 11.5.0
  12. Directus allows unauthenticated access to WebSocket events and operations
    Wysoka · 7.5 CVE-2024-54151 >= 11.0.0, < 11.3.0 11.3.0
  13. Session is cached for OpenID and OAuth2 if `redirect` is not used
    Wysoka · 7.4 CVE-2024-45596 < 10.13.3, >= 11.0.0-rc.1, < 11.1.0 10.13.3, 11.1.0
  14. Directus Allows Single Sign-On User Enumeration
    Wysoka · 7.5 CVE-2024-39896 >= 9.11, < 10.13.0 10.13.0
  15. Directus incorrectly handles `_in` filter
    Wysoka · 6.3 CVE-2024-39701 >= 9.23.0, < 10.6.0 10.6.0
  16. Directus is soft-locked by providing a string value to random string util
    Wysoka · 7.5 CVE-2024-36128 < 10.11.2 10.11.2
  17. Directus has MySQL accent insensitive email matching
    Wysoka · 8.2 CVE-2024-27295 < 10.8.3 10.8.3
  18. Directus crashes on invalid WebSocket message
    Wysoka · 7.5 CVE-2023-45820 >= 10.4.0, < 10.6.2 10.6.2
  19. Directus affected by VM2 sandbox escape vulnerability
    Wysoka · 7.6 ghsa-22rr-f3p8-5gf8 < 10.6.0 10.6.0
  20. directus vulnerable to HTML Injection in Password Reset email to custom Reset URL
    Wysoka · 7.5 CVE-2023-27474 < 9.23.0 9.23.0
  21. Insecure default value for CORS configuration
    Krytyczna · 9.8 CVE-2022-26969 < 9.7.0 9.7.0
  22. Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in directus
    Wysoka · 8.8 CVE-2022-24814 < 9.7.0 9.7.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.