CVE-2019-13981

In Directus 7 API through 2.3.0, remote attackers can read image files via a direct request for a filename under the uploads/_/originals/ directory. This is related to a configuration option in which the file collection can be non-public, but this option does not apply to the thumbnailer.

In Directus 7 API through 2.3.0, remote attackers can read image files via a direct request for a filename under the uploads/_/originals/ directory. This is related to a configuration option in which the file collection can be non-public, but this option does not apply to the thumbnailer.

En la API de Directus 7 hasta versión 2.3.0, los atacantes remotos pueden leer archivos de imagen por medio de una petición directa a un nombre de archivo bajo el directorio uploads/_/originals/. Esto está relacionado con una opción de configuración en la que la colección de archivos puede ser no pública, pero esta opción no se aplica a las imágenes miniaturas (thumbnailer).