directus-security

Audite qualquer instância Directus em busca das configurações incorretas que realmente vazam dados — exposição de leitura por papel público, enumeração de usuários, vazamentos não autenticados de versão/esquema, introspecção GraphQL e o oráculo de enumeração de campos do parâmetro search — e comprove cada um ao vivo com uma sonda anônima. Outras listas de verificação dizem o que pode estar errado; esta busca os bytes e mostra o que está.

⚡ Execute em uma única linha, sem token de admin, sem instalação:

root@kitploit:~

npx directus-security --url https://your-directus.example.com

🤝 Quer que eu faça isso por você? Auditoria de escopo fixo — US$ 99 / 24h: eu verifico cada achado ao vivo e envio um relatório escrito com as correções exatas de política.

$ npx directus-security --url https://directus.example.com
1 critical, 2 high, 1 medium — 4 CONFIRMED via anonymous probe
  CRITICAL  /items/posts            public-role read enabled — rows reachable anonymously
  HIGH      /items/posts?search=…   search-param field enumeration (CVE-2025-30352 class)
  HIGH      /items/directus_users   user list exposed (name + email)
  MEDIUM    /server/specs/oas       Directus version leaked unauthenticated (CVE-2025-53887 class)

Por que isso existe

A Directus alimenta backends headless na Tripadvisor, Adobe e Mercedes, e o modelo de acesso padrão torna um erro muito fácil de cometer: deixar a permissão read habilitada para a política Public. O resultado é uma API que qualquer pessoa pode ler. Em 2025, surgiu um conjunto de CVEs não autenticados que mapeiam exatamente para sondas anônimas:

• CVE-2025-30352 — o parâmetro de consulta search enumera campos não permitidos, vazando e-mails e hashes de senha um caractere por vez.
• CVE-2025-53887 — a versão do Directus é exposta sem autenticação via /server/specs/oas, permitindo que atacantes associem sua build a exploits conhecidos.
• CVE-2025-64749 — vazamento da existência de coleções via comparação de mensagens de erro.
• CVE-2025-53889 — trigger de Flow não autenticado.

directus-security verifica tudo isso e confirma os casos reais emitindo a requisição anônima exata que um atacante faria — assim você prioriza fatos, não suposições.

O que ela verifica

Uso

# Probe a live instance (guesses common collection names)
npx directus-security --url https://directus.example.com

# Probe specific collections
npx directus-security --url https://directus.example.com --collections posts,authors

# Learn your exact collection names from a Directus schema snapshot, then probe
npx directus-security --url https://directus.example.com --snapshot ./snapshot.json

# Write a shareable HTML report
npx directus-security --url https://directus.example.com --html report.html

# Static only (no requests sent)
npx directus-security --url https://directus.example.com --no-probe

A saída é JSON em stdout (canalize para CI) e um resumo de uma linha em stderr. O código de saída só é diferente de zero em erros de uso — condicione seu pipeline ao summary do JSON.

Instalação (opcional)

npm i -g directus-security
directus-security --url https://directus.example.com

Zero dependências. Seus dados e credenciais nunca saem da sua máquina — cada requisição vai direto da ferramenta para sua instância Directus.

Ferramentas irmãs

Mesma filosofia de sonda ativa para o restante da stack de backend, tudo sob licença MIT:

strapi-security · supabase-security · pocketbase-security · firebase-security · appwrite-security · nhost-security

Licença

MIT © Renzo Madueno

📚 Parte de Awesome Backend Security Auditors — a coleção completa de auditores de sonda ativa sem chave.