CVE-2026-32943

Parse Server, Node.js işlədə bilən hər hansı infrastrukturda tətbiq oluna bilən açıq mənbəli backend-dir. 9.6.0-alpha.28 və 8.6.48 versiyalarından əvvəl şifrənin sıfırlanması mexanizmi sıfırlama tokenlərinin yalnız bir dəfə istifadə edilməsi zəmanətini təmin etmir. İstifadəçi şifrənin sıfırlanmasını tələb etdikdə, yaradılan token qısa zaman intervalında çox sayda eyni vaxtda gələn sorğular tərəfindən istifadə edilə bilər. Şifrə sıfırlama tokenini ələ keçirmiş hücumçu, legitim istifadəçinin şifrə sıfırlama sorğusu ilə yarışaraq hər iki sorğunun uğurlu tamamlanmasına səbəb ola bilər. Bu, legitim istifadəçinin şifrəsinin uğurla dəyişdiyinə inanmasına, lakin əslində hücumçunun təyin etdiyi şifrənin qüvvəyə minməsinə gətirib çıxara bilər. Şifrə sıfırlama funksiyasından istifadə edən bütün Parse Server tətbiqləri bu boşluqdan təsirlənir. 9.6.0-alpha.28 və 8.6.48 versiyalarından başlayaraq, şifrə sıfırlama tokeni artıq şifrənin yenilənməsi əməliyyatının bir hissəsi kimi atomik şəkildə yoxlanılır və istifadə edilir. Şifrəni yeniləyən verilənlər bazası sorğusuna sıfırlama tokeni şərt kimi əlavə edilmişdir ki, bu da yalnız bir eyni vaxtlı sorğunun tokeni uğurla istifadə etməsini təmin edir. Eyni tokendən istifadə edən növbəti sorğular, token artıq silindiyi üçün uğursuz olacaqdır. Yeniləmədən başqa heç bir məlum alternativ həll yolu yoxdur.