PT-2026-30330 · Directus · Directus

Bugbunny-Research + 1 · Publicado 2026-04-04 · Atualizado 2026-04-06 · CVE-2026-35413

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Name of the Vulnerable Software and Affected Versions Directus (versões afetadas não especificadas)

Description Quando GRAPHQL INTROSPECTION=false está configurado, o Directus bloqueia consultas de introspecção GraphQL padrão, mas o resolver server specs graphql no endpoint /graphql/system retorna uma representação SDL equivalente do esquema. Isso ignora os controles de introspecção, expondo a estrutura do esquema (nomes de coleção, nomes de campo, tipos e relacionamentos) a usuários não autenticados no nível de permissão pública e a usuários autenticados no nível de permissão permitida. Administradores que definiram GRAPHQL INTROSPECTION=false tinham uma falsa sensação de segurança, pois as informações do esquema permaneciam acessíveis através do endpoint SDL.

Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2026-35413

GHSA-WXWM-3FXV-MRVX

Produtos afetados

Directus

Referências · 6

• https://github.com/directus/directus · Nota
• https://github.com/directus/directus/security/advisories/GHSA-wxwm-3fxv-mrvx · Aviso do Fabricante
• https://twitter.com/dailycve/status/2040707824733298775 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-35413 · Nota de Segurança
• https://twitter.com/CVEnew/status/2041282870883532894 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-wxwm-3fxv-mrvx · Aviso do Fabricante