发布日期：2023-03-23

更新日期：2023-05-25

受影响系统：

Directus Directus < 9.23.3

描述：

CVE(CAN) ID: CVE-2023-28443

Directus是一个实时Api和应用程序仪表板，用于管理Sql数据库内容。

Directus 9.23.3之前版本存在访问控制错误漏洞，该漏洞源于程序未正确编辑日志输出的directus_refresh_token，攻击者可利用该漏洞在没有权限的情况下冒充用户。

< **>

建议：

厂商补丁：

Directus

--------

目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

https://github.com/directus/directus/blob/7c479c5161639aac466c763b6b958a9524201d74/api/src/logger.ts#L13

浏览次数：30

严重程度：0（网友投票）