directus-security

Auditiere jede Directus-Instanz auf die Fehlkonfigurationen, die tatsächlich Daten leaken — offener Lesezugriff für die Public-Rolle, Benutzer-Enumeration, unauthentifizierte Versions-/Schema-Leaks, GraphQL-Introspection und das Feld-Enumeration-Orakel über den search-Parameter — und belege jeden Punkt live mit einer anonymen Probe. Andere Checklisten sagen dir, was falsch sein könnte; dieses Tool holt die Bytes und zeigt dir, was ist.

⚡ In einer Zeile ausführen, ohne Admin-Token, ohne Installation:

root@kitploit:~

npx directus-security --url https://your-directus.example.com

🤝 Soll ich es für dich erledigen? Audit mit festem Umfang — $99 / 24h: Ich verifiziere jeden Befund live und sende einen schriftlichen Bericht mit den exakten Policy-Fixes.

$ npx directus-security --url https://directus.example.com
1 critical, 2 high, 1 medium — 4 CONFIRMED via anonymous probe
  CRITICAL  /items/posts            public-role read enabled — rows reachable anonymously
  HIGH      /items/posts?search=…   search-param field enumeration (CVE-2025-30352 class)
  HIGH      /items/directus_users   user list exposed (name + email)
  MEDIUM    /server/specs/oas       Directus version leaked unauthenticated (CVE-2025-53887 class)

Warum es dieses Tool gibt

Directus betreibt Headless-Backends bei Tripadvisor, Adobe und Mercedes, und das Standard-Zugriffsmodell macht es sehr leicht, einen Fehler zu machen: Lesen für die Public-Policy aktiviert zu lassen. Das Ergebnis ist eine API, die jeder lesen kann. 2025 brachte ein Bündel unauthentifizierter CVEs, die exakt zu anonymen Proben passen:

• CVE-2025-30352 — der search-Query-Parameter enumeriert nicht freigegebene Felder und leakt E-Mails und Passwort-Hashes Zeichen für Zeichen.
• CVE-2025-53887 — die Directus-Version wird unauthentifiziert über /server/specs/oas offengelegt, sodass Angreifer deinen Build bekannten Exploits zuordnen können.
• CVE-2025-64749 — Collection-Existenz-Leak per Error-Message-Diffing.
• CVE-2025-53889 — unauthentifizierter Flow-Trigger.

directus-security prüft diese Punkte und bestätigt die echten, indem es exakt die anonyme Anfrage stellt, die ein Angreifer stellen würde — so priorisierst du Fakten statt Vermutungen.

Was es prüft

Nutzung

# Probe a live instance (guesses common collection names)
npx directus-security --url https://directus.example.com

# Probe specific collections
npx directus-security --url https://directus.example.com --collections posts,authors

# Learn your exact collection names from a Directus schema snapshot, then probe
npx directus-security --url https://directus.example.com --snapshot ./snapshot.json

# Write a shareable HTML report
npx directus-security --url https://directus.example.com --html report.html

# Static only (no requests sent)
npx directus-security --url https://directus.example.com --no-probe

Die Ausgabe erfolgt als JSON auf stdout (per Pipe in CI verarbeitbar) und als einzeilige Zusammenfassung auf stderr. Der Exit-Code ist nur bei Nutzungsfehlern ungleich null — kopple deine Pipeline an das JSON-Feld summary.

Installation (optional)

npm i -g directus-security
directus-security --url https://directus.example.com

Keine Abhängigkeiten. Deine Daten und Anmeldedaten verlassen nie deinen Rechner — jede Anfrage geht direkt vom Tool zu deiner Directus-Instanz.

Schwester-Tools

Dieselbe Active-Probe-Philosophie für den Rest des Backend-Stacks, alle MIT-lizenziert:

strapi-security · supabase-security · pocketbase-security · firebase-security · appwrite-security · nhost-security

Lizenz

MIT © Renzo Madueno

📚 Teil von Awesome Backend Security Auditors — die vollständige Sammlung von Active-Probe-Auditoren ohne API-Keys.