FICHE CVE

CVE-2026-61836

Publiée le 2026-07-15 · Dernière modification le 2026-07-28

🇫🇷 EN BREF

Les installations de Directus antérieures à la version 12.0.0 ayant activé la mise en cache des réponses sont concernées. Un attaquant peut contourner les filtres de permission pour consulter des données sensibles en demandant une URL qui a été précédemment mise en cache pour un autre utilisateur ou un autre jeton de partage. Cette action peut être exécutée via le réseau, sans aucune authentification ni interaction de l'utilisateur.

CVSS 3.18.6 ÉLEVÉE

Type de faiblesse

CWE-524 Contournement d'autorisation par clé contrôlée par l'utilisateur (IDOR) · CWE-639

Publiée2026-07-15

Dernière modification2026-07-28

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Directus is a real-time API and App dashboard for managing SQL database content. Prior to 12.0.0, when response caching is enabled, the cache-key derivation in api/src/utils/get-cache-key.ts includes version, path, query, and accountability.user but omits authorization context such as share, role, roles, admin, app, and policies. Directus share tokens and anonymous requests can both reduce to user null, so different shares or anonymous clients requesting the same URL and query can receive a permission-filtered cached response without permission re-evaluation. This issue is fixed in version 12.0.0.