CVE-2026-31856
Təsvir
Parse Server, Node.js işlədə bilən hər hansı infrastrukturda tətbiq oluna bilən açıq mənbəli backend-dir. Nöqtə notasiyasından istifadə etməklə (məsələn, stats.counter) iç-içə obyekt sahələri üzərində Increment əməliyyatları emal edilərkən PostgreSQL yaddaş adaptorunda SQL inyeksiyası zəifliyi mövcuddur. Miqdar dəyəri parametrləşdirmə və ya tip təsdiqi olmadan birbaşa SQL sorğusuna daxil edilir. Parse Server REST API-na yazma sorğuları göndərə bilən hücumçu, CLP və ACL-lərdən yan keçərək verilənlər bazasından hər hansı məlumatı oxumaq üçün ixtiyari SQL alt-sorğularını inyeksiya edə bilər. MongoDB tətbiqləri buna təsir etmir. Bu zəiflik 9.6.0-alpha.3 və 8.6.29 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- parseplatform parse-server8.6.29, 9.6.0 və ya daha yeni versiya
- parse-server9.6.0-alpha.3, 8.6.29 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| parseplatform parse-server | v < 8.6.29, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.29, 9.6.0 |
| parse-servernpm | 9.0.0-alpha.1 ≤ v < 9.6.0-alpha.3, v < 8.6.29 | 9.6.0-alpha.3, 8.6.29 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.