Directus: Autorisierungsumgehung über öffentliche WebSocket-REST-Schnittstelle

Zusammenfassung

Directus vor 12.1.0 enthält eine Autorisierungsumgehung in der WebSocket-REST-Schnittstelle, wenn der öffentliche WebSocket-Authentifizierungsmodus aktiviert ist. Ein nicht authentifizierter Angreifer kann ein ungültiges Token senden, wodurch der Server den Berechtigungskontext verwirft, und anschliessend Datensätze in jeder benutzerdefinierten Collection lesen, erstellen, ändern oder löschen. Voraussetzung ist, dass der öffentliche WebSocket-REST-Zugriff konfiguriert und über das Netzwerk erreichbar ist.

Betroffen

• Directus-Versionen vor 12.1.0 (betroffener Bereich: 0 bis unter 12.1.0)
• Nur relevant, wenn WEBSOCKETS_REST_AUTH auf public gesetzt ist

Behoben in

• Behoben in Directus 12.1.0 (entspricht @directus/api 37.0.0)
• Neuere Versionen sind verfügbar; laut Changelog ist 12.5.1 die aktuellste Version. Breaking Changes vor dem Upgrade prüfen.

Umgehung

• WEBSOCKETS_REST_AUTH auf handshake oder strict setzen
• Alternativ die WebSocket-Endpunkte deaktivieren, falls sie nicht benötigt werden
• Konfigurierte Abfragelimits und MAX_BATCH_MUTATION sind keine Autorisierungskontrollen und dürfen nicht als Schutzmassnahme verlassen werden

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; kein Eintrag im CISA-KEV-Katalog gefunden
• Kein öffentlicher Exploit gefunden; das Problem wurde nicht unabhängig reproduziert
• Unbekannt: ob die CVE-Zuordnung durch NVD bestätigt ist; der CVSS-Wert 9.2 ist nicht verifiziert

Unsere Empfehlung

• Alle Directus-Instanzen und deren Versionen erfassen und prüfen, ob WEBSOCKETS_REST_AUTH auf public gesetzt ist
• Ist der public-Modus auf einer aus dem Internet erreichbaren Instanz gesetzt, die Schutzmassnahme sofort anwenden oder WebSockets deaktivieren
• Auf 12.1.0 oder neuer aktualisieren, nachdem die CORS_ORIGIN-Einstellungen geprüft wurden, da WebSocket-Verbindungen von nicht aufgeführten Ursprüngen nun abgelehnt werden
• Logs auf unerwarteten WebSocket-Datenverkehr prüfen
• Den NVD-Eintrag und den CVSS-Wert nach der Veröffentlichung verifizieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  fixedbyreboot/CVE-2026-126539-POC

Quellen der Recherche

• GitHub Security Advisory GHSA-97xr-jchp-xm3c github.com
• VulnCheck Advisory www.vulncheck.com
• Directus Release v12.1.0 github.com
• Fix commit 8d4cd86 github.com
• Directus Version 12 Breaking Changes directus.com
• Directus Changelog directus.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:21.