CVE-2026-35411
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Directus przed wersją 11.16.1 jest podatny na otwarte przekierowanie przez parametr 'redirect' na stronie /admin/tfa-setup. Administrator, który nie skonfigurował jeszcze 2FA, po odwiedzeniu spreparowanego URL-a i ukończeniu konfiguracji 2FA, zostaje przekierowany na zewnętrzną domenę kontrolowaną przez atakującego bez żadnej walidacji.
Ocena ryzyka
Podatność może być wykorzystana w atakach phishingowych na administratorów Directus, ponieważ początkowa interakcja odbywa się na zaufanej domenie, co zwiększa wiarygodność ataku.
Rekomendacja
Należy zaktualizować Directus do wersji 11.16.1 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Directus is a real-time API and App dashboard for managing SQL database content. Prior to 11.16.1, Directus is vulnerable to an open redirect via the redirect query parameter on the /admin/tfa-setup page. When an administrator who has not yet configured Two-Factor Authentication (2FA) visits a crafted URL, they are presented with the legitimate Directus 2FA setup page. After completing the setup process, the application redirects the user to the attacker-controlled URL specified in the redirect parameter without any validation. This vulnerability could be used in phishing attacks targeting Directus administrators, as the initial interaction occurs on a trusted domain. This vulnerability is fixed in 11.16.1.