CVE-2026-32728

Parse Server, Node.js işlədə bilən hər hansı infrastrukturda tətbiq oluna bilən açıq mənbəli backend-dir. 9.6.0-alpha.15 və 8.6.41 versiyalarından əvvəl fayl yükləmək icazəsi olan hücumçu, `Content-Type` başlığına MIME parametrini (məsələn, `;charset=utf-8`) əlavə etməklə fayl genişlənməsi filtrini yan keçə bilər. Bu, genişlənmənin yoxlanılması zamanı blok siyahısı ilə uyğunlaşmamasına səbəb olur və aktiv məzmunun tətbiqin domeni altında saxlanılmasına və təqdim edilməsinə şərait yaradır. Bundan əlavə, veb brauzerlərdə skriptləri render edə bilən bəzi XML əsaslı fayl genişlənmələri standart blok siyahısına daxil edilməyib. Bu, sessiya tokenlərinin, istifadəçi etibarnamələrinin və ya brauzerin lokal yaddaşı vasitəsilə əlçatan olan digər həssas məlumatların oğurlanmasına səbəb ola bilən saxlanılmış saytlararası skriptinq (XSS) hücumlarına yol aça bilər. 9.6.0-alpha.15 və 8.6.41 versiyalarındakı düzəliş, fayl genişlənməsini blok siyahısına qarşı yoxlamazdan əvvəl `Content-Type` başlığından MIME parametrlərini silir. Standart blok siyahısı, veb brauzerlərdə aktiv məzmunu render edə bilən əlavə XML əsaslı genişlənmələri (`xsd`, `rng`, `rdf`, `rdf+xml`, `owl`, `mathml`, `mathml+xml`) daxil etmək üçün genişləndirilmişdir. Qeyd edin ki, `fileUpload.fileExtensions` seçimi konkret tətbiq üçün keçərli olan fayl genişlənmələrinin icazə siyahısı (allowlist) kimi konfiqurasiya edilməlidir, qadağan siyahısı (denylist) kimi yox. Standart qadağan siyahısı yalnız ən çox rast gəlinən problemli genişlənmələri əhatə edən baza standartı kimi təmin edilmişdir. O, bütün potensial təhlükəli genişlənmələrin tam siyahısı kimi nəzərdə tutulmayıb. Tərtibatçılar standart dəyərə güvənməməlidirlər, çünki gələcəkdə brauzerlərdə aktiv məzmunu render edə bilən yeni genişlənmələr ortaya çıxa bilər. Müvəqqəti həll yolu kimi, standart blok siyahısına güvənmək əvəzinə, `fileUpload.fileExtensions` seçimini yalnız tətbiqinizin ehtiyac duyduğu fayl genişlənmələrindən ibarət icazə siyahısını istifadə etmək üçün konfiqurasiya edin.