一、 漏洞 CVE-2024-46990 基础信息
漏洞标题
Directus中的SSRF回环IP过滤绕过漏洞
来源：AIGC 神龙大模型
漏洞描述信息
Directus 是一个实时API和App仪表盘，用于管理SQL数据库内容。当依赖于使用默认的 `0.0.0.0` 过滤器来阻止访问本地主机时，用户可以通过使用其他已注册的回送设备（如 `127.0.0.2` - `127.127.127.127`）来绕过此限制。这个问题已在版本10.13.3和11.1.0中得到解决。建议用户进行升级。对于无法升级的用户，可以通过手动添加 `127.0.0.0/8` CIDR范围来阻止此绕过，从而阻止访问任何 `127.X.X.X` IP地址，而不仅仅是 `127.0.0.1`。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H
来源：AIGC 神龙大模型
漏洞类别
服务端请求伪造(SSRF)
来源：AIGC 神龙大模型
漏洞标题
SSRF Loopback IP filter bypass in directus
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Directus is a real-time API and App dashboard for managing SQL database content. When relying on blocking access to localhost using the default `0.0.0.0` filter a user may bypass this block by using other registered loopback devices (like `127.0.0.2` - `127.127.127.127`). This issue has been addressed in release versions 10.13.3 and 11.1.0. Users are advised to upgrade. Users unable to upgrade may block this bypass by manually adding the `127.0.0.0/8` CIDR range which will block access to any `127.X.X.X` ip instead of just `127.0.0.1`.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
访问控制不恰当
来源：美国国家漏洞数据库 NVD
漏洞标题
Directus 访问控制错误漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Directus是Directus开源的一个实时 Api 和应用程序仪表板。用于管理 Sql 数据库内容。 Directus 10.13.2之前版本，存在访问控制错误漏洞，该漏洞源于当依赖于使用默认过滤器阻止对本地主机的访问时，用户可以使用其他已注册的环回设备绕过阻止。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
授权问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-46990 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2024-46990 的情报信息
-
标题： SSRF Loopback IP filter bypass · Advisory · directus/directus · GitHub -- 🔗来源链接
标签： x_refsource_CONFIRM
神龙速读
-
-
-
-
- https://nvd.nist.gov/vuln/detail/CVE-2024-46990