CVE-2026-30939
Təsvir
Parse Server, Node.js işlədə bilən hər hansı infrastrukturda tətbiq oluna bilən açıq mənbəli backend-dir. 8.6.13 və 9.5.1-alpha.2 versiyalarından əvvəl autentifikasiya olunmamış hücumçu, funksiya adı kimi prototip xassə adını istifadə edərək Cloud Function son nöqtəsini çağırmaqla Parse Server prosesini çökdürə bilər. Server sonsuz rekursiyaya girir və bu da prosesi dayandıran çağırış stekinin ölçüsü (call stack size) xətasına səbəb olur. Digər prototip xassə adları Cloud Function göndərmə validasiyasını yan keçir və belə Cloud Function-lar təyin edilmədiyi halda belə HTTP 200 cavablarını qaytarır. Eyni hal nöqtə notasiyalı keçidlərlə (dot-notation traversal) də baş verir. Cloud Function son nöqtəsini açıq saxlayan bütün Parse Server tətbiqləri bu zəiflikdən təsirlənir. Bu zəiflik 8.6.13 və 9.5.1-alpha.2 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- parseplatform parse-server8.6.13, 9.5.1 və ya daha yeni versiya
- parse-server8.6.13, 9.5.1-alpha.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| parseplatform parse-server | v < 8.6.13, 9.0.0 ≤ v < 9.5.1, 9.5.1 | 8.6.13, 9.5.1 |
| parse-servernpm | v < 8.6.13, 9.0.0-alpha.1 ≤ v < 9.5.1-alpha.2 | 8.6.13, 9.5.1-alpha.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.