CVE-2026-35408— Directus 安全漏洞
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-35408 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Directus is Missing Cross-Origin Opener Policy
来源: 美国国家漏洞数据库 NVD
Vulnerability Description
Directus is a real-time API and App dashboard for managing SQL database content. Prior to 11.17.0, Directus's Single Sign-On (SSO) login pages lacked a Cross-Origin-Opener-Policy (COOP) HTTP response header. Without this header, a malicious cross-origin window that opens the Directus login page retains the ability to access and manipulate the window object of that page. An attacker can exploit this to intercept and redirect the OAuth authorization flow to an attacker-controlled OAuth client, causing the victim to unknowingly grant access to their authentication provider account (e.g. Google, Discord). This vulnerability is fixed in 11.17.0.
来源: 美国国家漏洞数据库 NVD
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
来源: 美国国家漏洞数据库 NVD
Vulnerability Type
源验证错误
来源: 美国国家漏洞数据库 NVD
Vulnerability Title
Directus 安全漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
Directus是Directus开源的一个实时 Api 和应用程序仪表板。用于管理 Sql 数据库内容。 Directus 11.17.0之前版本存在安全漏洞，该漏洞源于单点登录页面缺少Cross-Origin-Opener-Policy标头，可能导致OAuth授权流程被劫持。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD
受影响产品
二、漏洞 CVE-2026-35408 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-35408 的情报信息
Please 登录 to view more intelligence information
同批安全公告 · directus · 2026-04-06 · 共 8 条
| CVE-2026-35442 | 8.1 HIGH | Directus 安全漏洞 |
| CVE-2026-35409 | 7.7 HIGH | Directus 代码问题漏洞 |
| CVE-2026-35412 | 7.1 HIGH | Directus 安全漏洞 |
| CVE-2026-35441 | 6.5 MEDIUM | Directus 安全漏洞 |
| CVE-2026-35410 | 6.1 MEDIUM | Directus 输入验证错误漏洞 |
| CVE-2026-35413 | 5.3 MEDIUM | Directus 信息泄露漏洞 |
| CVE-2026-35411 | 4.3 MEDIUM | Directus 输入验证错误漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-35408
暂无评论