Directus: 認証されたユーザーは、集計クエリを通じて隠されたフィールドを抽出できる

Directus の CVE-2026-35442 は、認証されたユーザーがコレクションへの読み取りアクセス権を持っている場合に、隠されたフィールド値を抽出することを可能にします。これには、directus_users からの静的 API トークンや二要素認証のシークレットが含まれます。これは、特別な conceal タイプを持つフィールドに適用される集計関数 (min、max) の処理におけるエラーが原因です。マスクされたプレースホルダーを返す代わりに、生のデータベース値が返されます。この脆弱性と groupBy を組み合わせることで、機密情報を簡単に抽出できます。

Organizations using Directus for content management and data storage are at risk, particularly those relying on concealed fields to protect sensitive information like API tokens and two-factor authentication secrets. Shared hosting environments where multiple Directus instances share the same database are also at increased risk, as a vulnerability in one instance could potentially expose data from others.

• nodejs / server: Monitor Directus logs for unusual query patterns involving aggregate functions on concealed fields. Look for queries that attempt to extract data from the directus_users table.

grep -i 'conceal|groupBy' /var/log/directus/directus.log

• generic web: Inspect Directus API endpoints for unexpected responses containing raw data instead of masked placeholders when querying concealed fields. Use curl to test API endpoints and examine the response body.

curl -X GET 'http://directus-instance/api/items/directus_users?fields[0]=api_token' | jq '.data[] | .api_token'

1. 2026-04-04Disclosure

   disclosure

1. 予約済み2026-04-02
2. 公開日2026-04-04
3. 更新日2026-04-07
4. EPSS 更新日2026-04-14

この脆弱性の解決策は、Directus をバージョン 11.17.0 以降に更新することです。このバージョンは、conceal フィールドの集計関数の処理におけるエラーを修正し、実際の値の代わりにマスクされたプレースホルダーが返されるようにします。Directus に保存されている機密データを保護するために、できるだけ早くこの更新を適用することをお勧めします。さらに、コレクションへのアクセス権を、実際に必要なユーザーに読み取りアクセスを制限するように確認してください。