Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Directus (CVE-2024-28239)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-601 Redireccionamiento de URL a sitio no confiable (Open Redirect)
Fecha de publicación:
12/03/2024
Última modificación:
03/01/2025

Descripción

Directus es una API y un panel de aplicaciones en tiempo real para administrar el contenido de la base de datos SQL. La API de autenticación tiene un parámetro "redirect" que puede explotarse como una vulnerabilidad de redireccionamiento abierto cuando el usuario intenta iniciar sesión a través de la URL de la API. Hay una redirección que se realiza después de iniciar sesión correctamente a través de la solicitud GET de Auth API a `directus/auth/login/google?redirect=http://malicious-fishing-site.com`. Si bien las credenciales no parecen pasarse al sitio del atacante, se puede hacer phishing al usuario para que haga clic en un sitio directo legítimo y ser llevado a un sitio malicioso que parece un mensaje de error "Su contraseña debe actualizarse" para phishing. sacar la contraseña actual. Los usuarios que inician sesión a través de OAuth2 en Directus pueden estar en riesgo. Este problema se solucionó en la versión 10.10.0. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:monospace:directus:*:*:*:*:*:node.js:*:* 10.10.0 (excluyendo)