CVE-2026-32742

Parse Server, Node.js işlədə bilən hər hansı infrastrukturda tətbiq oluna bilən açıq mənbəli backend-dir. 9.6.0-alpha.17 və 8.6.42 versiyalarından əvvəl autentifikasiya olunmuş istifadəçi `POST /classes/_Session` vasitəsilə sessiya obyekti yaradarkən server tərəfindən generatsiya edilən sessiya sahələrini (`sessionToken`, `expiresAt`, `createdWith`) yenidən yaza bilər. Bu, ixtiyari şəkildə uzaq gələcək tarix təyin etməklə serverin sessiyanın vaxtının bitməsi siyasətindən yan keçməyə imkan verir. O, həmçinin proqnozlaşdırıla bilən sessiya tokeni dəyəri təyin etməyə şərait yaradır. 9.6.0-alpha.17 və 8.6.42 versiyalarından başlayaraq, sessiya yaratma son nöqtəsi (endpoint) istifadəçi tərəfindən təqdim edilən məlumatlardan server tərəfindən generatsiya edilən sahələri süzgəcdən keçirərək onların yenidən yazılmasının qarşısını alır. Müvəqqəti həll yolu kimi, `sessionToken`, `expiresAt` və `createdWith` üçün istifadəçi tərəfindən təqdim edilən hər hansı dəyəri yoxlamaq və rədd etmək və ya silmək üçün `_Session` klasına `beforeSave` trigger-i əlavə edin.