Plattform
nodejs
Komponente
directus
Behoben in
11.17.1
11.17.0
CVE-2026-35408 affects Directus, an open-source headless CMS. This vulnerability stems from the absence of a Cross-Origin-Opener-Policy (COOP) HTTP response header on Directus's Single Sign-On (SSO) login pages. An attacker can exploit this to redirect the OAuth authorization flow, potentially compromising user accounts linked to authentication providers like Google or Discord. Upgrade to version 11.17.0 to resolve this issue.
Die CVE-2026-35408-Schwachstelle in Directus betrifft Single Sign-On (SSO)-Login-Seiten. Das Fehlen des HTTP-Headers Cross-Origin-Opener-Policy (COOP) ermöglicht es einem bösartigen Cross-Origin-Fenster, das die Directus-Login-Seite öffnet, den window-Objekt dieser Seite zu greifen und zu manipulieren. Dies ermöglicht es einem Angreifer, den OAuth-Autorisierungsfluss abzufangen und auf einen vom Angreifer kontrollierten OAuth-Client umzuleiten, wodurch das Opfer unwissentlich Zugriff auf sein Authentifizierungsanbieterkonto gewährt. Das Risiko ist erheblich, insbesondere für Organisationen, die auf SSO für die Benutzerauthentifizierung angewiesen sind.
Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine bösartige Webseite erstellt, die die Directus-Login-Seite in einem Iframe öffnet. Die bösartige Seite könnte dann JavaScript-Code injizieren, um den OAuth-Autorisierungsfluss abzufangen und den Benutzer auf einen vom Angreifer kontrollierten Server umzuleiten. Sobald der Benutzer seine Anmeldeinformationen auf dem Server des Angreifers eingibt, kann der Angreifer Zugriff auf das Benutzerkonto in Directus erhalten. Diese Technik ist besonders effektiv, wenn der Benutzer nicht auf die URL achtet, zu der er weitergeleitet wird.
Organizations using Directus with SSO enabled, particularly those relying on third-party authentication providers like Google or Discord, are at risk. Shared hosting environments where Directus instances share resources with other applications are also particularly vulnerable, as a compromised application could potentially exploit this vulnerability.
• nodejs / server:
curl -I <directus_sso_url> | grep 'Cross-Origin-Opener-Policy'• generic web:
curl -I <directus_sso_url> | grep 'Cross-Origin-Opener-Policy'disclosure
Exploit-Status
EPSS
0.02% (4% Perzentil)
CISA SSVC
CVSS-Vektor
Die Lösung für diese Schwachstelle besteht darin, Directus auf Version 11.17.0 oder höher zu aktualisieren. Diese Version enthält die Implementierung des Headers Cross-Origin-Opener-Policy (COOP) auf SSO-Login-Seiten, wodurch das Risiko der Manipulation des window-Objekts gemindert wird. Es wird dringend empfohlen, dieses Update so schnell wie möglich anzuwenden, um Directus-Systeme und Benutzerdaten zu schützen. Überprüfen Sie außerdem Ihre SSO-Konfigurationen, um sicherzustellen, dass bewährte Sicherheitspraktiken eingehalten werden, wie z. B. explizite Weiterleitungen und die Validierung der Rückgabedomäne.
Actualice Directus a la versión 11.17.0 o superior para mitigar la vulnerabilidad. Esta actualización implementa el encabezado Cross-Origin-Opener-Policy (COOP), que protege contra la manipulación del flujo de autorización OAuth por parte de sitios web maliciosos.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
COOP ist eine Sicherheitspolitik, die einem Dokument den Zugriff auf die window-Eigenschaft eines anderen Fensters untersagt, das von einer anderen Quelle stammt. Sie hilft, Cross-Site-Scripting (XSS)-Angriffe und andere Angriffe im Zusammenhang mit der Manipulation des window-Objekts zu verhindern.
Wenn Sie eine Version von Directus vor 11.17.0 verwenden, sind Sie anfällig. Sie können die Version von Directus überprüfen, die Sie in der Verwaltungs-Oberfläche verwenden.
Ändern Sie Ihr Passwort sofort und überprüfen Sie die Directus-Audit-Protokolle auf verdächtige Aktivitäten. Erwägen Sie, die Zugriffstoken für alle verbundenen Anwendungen zu widerrufen.
Ja, stellen Sie sicher, dass Directus auf dem neuesten Stand ist, verwenden Sie starke Passwörter, aktivieren Sie die Zwei-Faktor-Authentifizierung und überprüfen Sie regelmäßig die Sicherheitseinstellungen.
Sie finden weitere Informationen zur Schwachstelle CVE-2026-35408 auf der Website der National Vulnerability Database (NVD): [https://nvd.nist.gov/vuln/detail/CVE-2026-35408](https://nvd.nist.gov/vuln/detail/CVE-2026-35408)
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.