CVE-2026-32248
Təsvir
Parse Server, Node.js işlədə bilən hər hansı infrastrukturda tətbiq oluna bilən açıq mənbəli backend-dir. 9.6.0-alpha.12 və 8.6.38 versiyalarından əvvəl, autentifikasiya olunmamış hücumçu, istifadəçi identifikatorunun formatını yoxlamayan autentifikasiya provayderi ilə yaradılmış hər hansı istifadəçi hesabını ələ keçirə bilər (məsələn, anonim autentifikasiya). Xüsusi hazırlanmış giriş sorğusu göndərməklə, hücumçu serverin dəqiq uyğunluq axtarışı əvəzinə şablonla uyğunlaşdırma sorğusunu yerinə yetirməsinə səbəb ola bilər ki, bu da hücumçuya mövcud istifadəçini tapmağa və həmin istifadəçinin hesabı üçün etibarlı sessiya tokeni əldə etməyə imkan verir. Həm MongoDB, həm də PostgreSQL verilənlər bazası backend-ləri təsirlidir. Anonim autentifikasiyaya icazə verən (defolt olaraq aktivdir) bütün Parse Server tətbiqləri zəifliyə malikdir. Bu zəiflik 9.6.0-alpha.12 və 8.6.38 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- parseplatform parse-server8.6.38, 9.6.0 və ya daha yeni versiya
- parse-server9.6.0-alpha.12, 8.6.38 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| parseplatform parse-server | v < 8.6.38, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.38, 9.6.0 |
| parse-servernpm | 9.0.0 ≤ v < 9.6.0-alpha.12, v < 8.6.38 | 9.6.0-alpha.12, 8.6.38 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.