CVE-2021-41109
Təsvir
Parse Server, Node.js işlədə bilən hər hansı infrastrukturda tətbiq oluna bilən açıq mənbəli backend-dir. Versiya 4.10.4-dən əvvəl, adi (LiveQuery olmayan) sorğular üçün sessiya tokeni cavabdan çıxarılır, lakin hazırda LiveQuery yükləri (payloads) üçün bu baş vermir. Əgər istifadəçinin `Parse.User` klasında LiveQuery abunəliyi varsa, istifadəçi qeydiyyatları zamanı yaradılan bütün sessiya tokenləri LiveQuery yükünün bir hissəsi kimi yayımlanacaqdır. Versiya 4.10.4-dəki yamla sessiya tokenləri LiveQuery yükündən çıxarılmışdır. Müvəqqəti həll yolu kimi, istifadəçini artıq qeydiyyat zamanı gizli etmək üçün beforeSave trigger-ində `user.acl(new Parse.ACL())` təyin edin.
Necə düzəltmək olar
- parseplatform parse-server4.10.4 və ya daha yeni versiya
- parse-server4.10.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| parseplatform parse-server | v < 4.10.4 | 4.10.4 |
| parse-servernpm | v < 4.10.4 | 4.10.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.