CVE-2025-64502

Parse Server Node.js işlədə bilən istənilən infrastrukturda yerləşdirilə bilən açıq mənbəli backend-dir. MongoDB `explain()` metodu sorğuların icra planları haqqında ətraflı məlumat verir, o cümlədən indekslərin istifadəsi, kolleksiyaların skan edilməsi davranışı və performans göstəriciləri. 8.5.0-alpha.5 versiyasından əvvəl Parse Server istənilən klientə master açar tələb etmədən explain sorğularını icra etməyə icazə verirdi. Bu, verilənlər bazasının sxem strukturunu və sahə adlarını, indeks konfiqurasiyalarını və sorğuların optimallaşdırılması detallarını, sorğuların icra statistikasını və performans göstəricilərini, həmçinin verilənlər bazasının performansından istismar üçün potensial hücum vektorlarını açıq şəkildə nümayiş etdirir. 8.5.0-alpha.5 versiyasında `explain` sorğularını master açarı ilə məhdudlaşdırmağa imkan verən yeni `databaseOptions.allowPublicExplain` konfiqurasiya seçimi təqdim edilmişdir. Seçim hazırda `true` dəyərinə malikdir ki, bu da public `explain` əlçatanlığından asılı olan istehsal sistemlərində uyğunluğun pozulmasının qarşısını alır. Bundan əlavə, seçim açıq şəkildə təyin edilmədikdə və ya `true` dəyərinə təyin edildikdə təhlükəsizlik xəbərdarlığı qeydə alınır. Parse Server-in gələcək əsas buraxılışında standart dəyər `false` olaraq dəyişdiriləcək. Alternativ həll kimi, master açarı olmayan sorğulardan explain sorğularını bloklayan middleware tətbiq edin və ya istehsal mühitlərində explain sorğularının istifadəsini izləyin və xəbərdarlıq təyin edin.