CVE-2026-32098
Təsvir
Parse Server, Node.js işlədə bilən hər hansı infrastrukturda tətbiq oluna bilən açıq mənbəli backend-dir. 9.6.0-alpha.9 və 8.6.35 versiyalarından əvvəl hücumçu, qorunan sahələrin dəyərlərini birbaşa almadan onları təyin etmək üçün LiveQuery abunəliklərindən istifadə edə bilər. Qorunan sahəyə istinad edən (nöqtə notasiyası və ya $regex vasitəsilə daxil olmaqla) WHERE bəndini tətbiq edərək abunə olan hücumçu, uyğun obyektlər üçün LiveQuery hadisələrinin çatdırılıb-çatdırılmadığını müşahidə edə bilər. Bu, qorunan sahənin dəyərlərini sızdıran boolean oraklı yaradır. Hücum, həm Class-Level Permissions bölməsində protectedFields konfiqurasiya edilmiş, həm də LiveQuery aktiv edilmiş bütün siniflərə təsir göstərir. Bu zəiflik 9.6.0-alpha.9 və 8.6.35 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- parseplatform parse-server8.6.35, 9.6.0 və ya daha yeni versiya
- parse-server9.6.0-alpha.9, 8.6.35 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| parseplatform parse-server | v < 8.6.35, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.35, 9.6.0 |
| parse-servernpm | 9.0.0 ≤ v < 9.6.0-alpha.9, v < 8.6.35 | 9.6.0-alpha.9, 8.6.35 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.