CVE:CVE-2022-24814
CNNVD:CNNVD-202204-1934
Directus是一个实时 Api 和应用程序仪表板。用于管理 Sql 数据库内容。
Directus 存在跨站脚本漏洞，该漏洞源于在9.7.0版本之前，可以通过在富文本html界面中插入一个iframe来执行未经授权的JavaScript（JS），该界面链接到一个文件上传的html文件，该文件在其脚本标记中加载另一个上传的JS文件。这满足了常规的内容安全策略头，从而允许文件运行任意JS。这个问题在9.7.0版中得到了解决。作为一种解决方法，在富文本HTML界面的_optionsoverrides选项中添加{media_live_embeds：false}来禁用所见即所得中的live embed。
solution:Upgrade rangerstudio directus to a higher version than 9.7.0,and avoid the version (,9.7.0)