CVE-2026-35413
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W Directus przed wersją 11.16.1, pomimo wyłączenia GraphQL introspection (GRAPHQL_INTROSPECTION=false), resolver server_specs_graphql na endpoint /graphql/system nadal zwracał schemat w formacie SDL. Pozwalało to na ominięcie kontroli introspection i ujawnienie struktury bazy danych (nazwy kolekcji, pól, typów i relacji) nieuwierzytelnionym użytkownikom na poziomie publicznym oraz uwierzytelnionym na ich poziomie uprawnień.
Ocena ryzyka
Organizacja naraża się na wyciek szczegółów architektury danych, co może ułatwić atakującemu zaplanowanie dalszych ataków, np. na wrażliwe kolekcje.
Rekomendacja
Należy niezwłocznie zaktualizować Directus do wersji 11.16.1 lub nowszej, która zawiera poprawkę.
Inne podatności w Directus
Zobacz wszystkie- CVE-2026-10716Wysokie
Directus zawiera podatność na wstrzykiwanie SQL w procesie tworzenia kolekcji, gdy instancja używa PostgreSQL z włączonym PostGIS. Administrator może utworzyć kolekcję z polem geometrii, którego wartość fields[].type zaczyna się od 'geometry', ale zawiera kontrolowaną przez atakującego składnię SQL po podtypie geometrii. Problem dotyczy Directus przed wersją 12.1.0.
- CVE-2026-61836Wysokie
W Directus przed wersją 12.0.0, przy włączonym buforowaniu odpowiedzi, klucz pamięci podręcznej nie uwzględnia kontekstu autoryzacji (np. tokenów udostępniania, ról, uprawnień). Powoduje to, że różni użytkownicy lub anonimowe żądania do tego samego URL mogą otrzymać tę samą buforowaną odpowiedź bez ponownej weryfikacji uprawnień.
- CVE-2026-61835Wysokie
W Directus przed wersją 12.0.0 ochrona SSRF w funkcji importu plików z URL może zostać ominięta przez użycie adresu 0.0.0.0. System traktuje ten adres jako słowo kluczowe dla interfejsów lokalnych, ale nie blokuje go bezpośrednio, co pozwala na dostęp do localhost na Linux i macOS. Uwierzytelniony użytkownik z prawami do przesyłania plików może wykorzystać endpoint /files/import do pobierania wewnętrznych usług i zapisywania odpowiedzi jako plik.
- CVE-2026-35442Wysokie
W Directus przed wersją 11.17.0 funkcje agregujące (min, max) na polach z typem conceal zwracają surowe wartości zamiast maskowanych. Uwierzytelniony użytkownik z dostępem do odczytu może wyodrębnić ukryte wartości, w tym tokeny API i sekrety 2FA.
- CVE-2026-35441Średnie
Directus przed wersją 11.17.0 nie deduplikuje wywołań resolverów w zapytaniach GraphQL. Uwierzytelniony użytkownik może wykorzystać aliasowanie GraphQL do wielokrotnego powtarzania kosztownych zapytań relacyjnych, powodując przeciążenie bazy danych i wyczerpanie zasobów serwera.
- CVE-2026-35412Wysokie
Directus przed wersją 11.16.1 zawiera podatność w punkcie końcowym TUS resumable upload (/files/tus), która pozwala uwierzytelnionemu użytkownikowi z podstawowymi uprawnieniami do przesyłania plików na nadpisywanie dowolnych istniejących plików po UUID. Kontroler TUS wykonuje tylko autoryzację na poziomie kolekcji, pomijając reguły dostępu na poziomie wiersza.
- CVE-2026-35411Średnie
Directus przed wersją 11.16.1 jest podatny na otwarte przekierowanie przez parametr 'redirect' na stronie /admin/tfa-setup. Administrator, który nie skonfigurował jeszcze 2FA, po odwiedzeniu spreparowanego URL-a i ukończeniu konfiguracji 2FA, zostaje przekierowany na zewnętrzną domenę kontrolowaną przez atakującego bez żadnej walidacji.
- CVE-2026-35410Średnie
Directus przed wersją 11.16.1 zawiera podatność na otwarte przekierowanie w logice przekierowania po logowaniu. Funkcja isLoginRedirectAllowed nieprawidłowo identyfikuje niektóre źle sformowane URL-e jako zewnętrzne, co pozwala ominąć walidację listy dozwolonych przekierowań i przekierować użytkowników na dowolne zewnętrzne domeny po pomyślnym uwierzytelnieniu.
- CVE-2026-35409Wysokie
W Directus przed wersją 11.16.0 zidentyfikowano obejście ochrony SSRF poprzez użycie notacji IPv4-Mapped IPv6. Mechanizm blokowania adresów lokalnych i prywatnych może zostać ominięty.
- CVE-2026-35408Wysokie
W Directus przed 11.17.0 brak nagłówka Cross-Origin-Opener-Policy (COOP) na stronach logowania SSO. Atakujący może przechwycić i przekierować przepływ autoryzacji OAuth do kontrolowanego przez siebie klienta OAuth, kradnąc dostęp do konta ofiary.
Oryginalny opis (angielski, źródło NVD)
Directus is a real-time API and App dashboard for managing SQL database content. Prior to 11.16.1, when GRAPHQL_INTROSPECTION=false is configured, Directus correctly blocks standard GraphQL introspection queries (__schema, __type). However, the server_specs_graphql resolver on the /graphql/system endpoint returns an equivalent SDL representation of the schema and was not subject to the same restriction. This allowed the introspection control to be bypassed, exposing schema structure (collection names, field names, types, and relationships) to unauthenticated users at the public permission level, and to authenticated users at their permitted permission level. This vulnerability is fixed in 11.16.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS