Plateforme
nodejs
Composant
directus
Corrigé dans
11.17.1
11.17.0
CVE-2026-35408 est une vulnérabilité dans Directus qui permet à un attaquant d'intercepter et de rediriger le flux d'autorisation OAuth. Cela est dû à l'absence d'un header Cross-Origin-Opener-Policy (COOP) sur les pages de connexion SSO. La version corrigée est 11.17.0.
La vulnérabilité CVE-2026-35408 dans Directus affecte les pages de connexion Single Sign-On (SSO). L'absence de l'en-tête HTTP Cross-Origin-Opener-Policy (COOP) permet à une fenêtre d'origine croisée malveillante, qui ouvre la page de connexion Directus, d'accéder et de manipuler l'objet window de cette page. Cela permet à un attaquant d'intercepter et de rediriger le flux d'autorisation OAuth vers un client OAuth contrôlé par l'attaquant, amenant ainsi la victime à accorder involontairement l'accès à son compte de fournisseur d'authentification. Le risque est important, en particulier pour les organisations qui dépendent de SSO pour l'authentification des utilisateurs.
Un attaquant pourrait exploiter cette vulnérabilité en créant une page web malveillante qui ouvre la page de connexion Directus dans un iframe. La page malveillante pourrait ensuite injecter du code JavaScript pour intercepter le flux d'autorisation OAuth et rediriger l'utilisateur vers un serveur contrôlé par l'attaquant. Une fois que l'utilisateur saisit ses informations d'identification sur le serveur de l'attaquant, l'attaquant peut obtenir l'accès au compte de l'utilisateur dans Directus. Cette technique est particulièrement efficace si l'utilisateur ne prête pas attention à l'URL vers laquelle il est redirigé.
Organizations using Directus with SSO enabled, particularly those relying on third-party authentication providers like Google or Discord, are at risk. Shared hosting environments where Directus instances share resources with other applications are also particularly vulnerable, as a compromised application could potentially exploit this vulnerability.
• nodejs / server:
curl -I <directus_sso_url> | grep 'Cross-Origin-Opener-Policy'• generic web:
curl -I <directus_sso_url> | grep 'Cross-Origin-Opener-Policy'disclosure
Statut de l'Exploit
EPSS
0.02% (percentile 4%)
CISA SSVC
Vecteur CVSS
La solution à cette vulnérabilité est de mettre à niveau Directus vers la version 11.17.0 ou supérieure. Cette version inclut l'implémentation de l'en-tête Cross-Origin-Opener-Policy (COOP) sur les pages de connexion SSO, atténuant ainsi le risque de manipulation de l'objet window. Il est fortement recommandé d'appliquer cette mise à jour dès que possible pour protéger les systèmes Directus et les données des utilisateurs. De plus, examinez vos configurations SSO pour vous assurer que les meilleures pratiques de sécurité sont suivies, telles que les redirections explicites et la validation du domaine de retour.
Actualice Directus a la versión 11.17.0 o superior para mitigar la vulnerabilidad. Esta actualización implementa el encabezado Cross-Origin-Opener-Policy (COOP), que protege contra la manipulación del flujo de autorización OAuth por parte de sitios web maliciosos.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
COOP est une politique de sécurité qui restreint un document de l'accès à la propriété window d'une autre fenêtre qui a son origine dans un domaine différent. Elle aide à prévenir les attaques de cross-site scripting (XSS) et autres attaques liées à la manipulation de l'objet window.
Si vous utilisez une version de Directus antérieure à 11.17.0, vous êtes vulnérable. Vous pouvez vérifier la version de Directus que vous utilisez dans l'interface d'administration.
Modifiez votre mot de passe immédiatement et examinez les journaux d'audit Directus pour détecter toute activité suspecte. Envisagez de révoquer les jetons d'accès pour toutes les applications connectées.
Oui, assurez-vous que Directus est maintenu à jour, utilisez des mots de passe forts, activez l'authentification à deux facteurs et examinez régulièrement les configurations de sécurité.
Vous pouvez trouver plus d'informations sur la vulnérabilité CVE-2026-35408 sur le site web du National Vulnerability Database (NVD) : [https://nvd.nist.gov/vuln/detail/CVE-2026-35408](https://nvd.nist.gov/vuln/detail/CVE-2026-35408)
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.