DirectusにHighのDoS―CSV取り込みのプロトタイプ汚染を12.5.0で修正
GHSA-32cw-mf7w-gpqr、CVSS 7.1。限定的なコレクション権限でも、ログインや読み取りが再起動まで失敗し続けるおそれがあります。
Directusの公式公表日：2026-10-30 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
Directusは2026年10月30日、CSV取り込み機能の脆弱性GHSA-32cw-mf7w-gpqrを公表しました。深刻度はHigh、CVSS v3.1は7.1です。12.5.0未満が影響を受け、12.5.0で修正されています。確認時点で公式告知にCVE番号は付与されていません。
認証済みユーザーが任意の一つのコレクションに作成・更新権限を持つ場合、CSVの取り込みを通じてプロセス全体のObject.prototypeを変更できる問題です。管理者権限は不要です。入れ子の値を扱う処理が、オブジェクト自身のプロパティと継承したプロパティを十分に区別していませんでした。
汚染されたプロパティは後続のSQL生成にも混入し、存在しない列を参照するクエリが作られます。その結果、ログインや多くの読み取り処理がデータベースエラーになり、再起動まで利用できなくなると説明されています。プロセス自体は動き続けるため、稼働確認だけでは異常を見逃す可能性があります。
対応は12.5.0への更新です。再起動は発生後の状態を解消しても、同じ入力による再発を防ぎません。管理者は取り込み権限を持つ利用者と稼働版を確認し、更新後にログインと通常のCSV取り込みが成功することを確認してください。
出典と編集について
Directus：Authenticated persistent Denial of Service via prototype pollution in CSV import ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。