CVE-2026-26185 in directus

الملخص

بحسب VulDB • 26/06/2026

Directus هو لوحة تحكم للتطبيقات وواجهة برمجة التطبيقات (API) في الوقت الفعلي لإدارة محتوى قواعد بيانات SQL. قبل الإصدار 11.14.1، توجد ثغرة تمكّن من تعداد المستخدمين بناءً على التوقيت في وظيفة إعادة تعيين كلمة المرور. عند توفير معلمة reset_url غير صالحة، يختلف وقت الاستجابة بحوالي 500 مللي ثانية بين المستخدمين الموجودين وغير الموجودين، مما يتيح عدّاً موثوقاً للمستخدمين. تمت إصلاح هذه الثغرة في الإصدار 11.14.1.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• مسؤول: GitHub M
• حجز: 11/02/2026
• إفشاء: 13/02/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-345831
• CPE: جاهز
• CWE: CWE-208 (مؤكد)
• CVSS: 5.3 (CNA)
• EPSS: 0.00349
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-26185
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-26185
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-26185/