Una vulnerabilidad crítica (CVSS 8.1) en Directus permite a atacantes no autenticados eludir completamente las comprobaciones de permisos. Al enviar un token de autenticación inválido en conexiones WebSocket configuradas en modo público, el sistema establece la responsabilidad de acceso como nula, permitiendo leer, crear, modificar o eliminar registros en cualquier colección definida por el usuario.
Aunque Shodan no reporta hosts expuestos actualmente, la gravedad técnica es alta y afecta a todas las instalaciones de Directus anteriores a la versión 12.1.0. Se recomienda actualizar inmediatamente.
| CVE | CVE-2026-126539 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.1 / 10 |
| CWE | CWE-636 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Directus 12.1.0
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).