CVE-2026-33163

Parse Server, Node.js işlədə bilən hər hansı infrastrukturda tətbiq oluna bilən açıq mənbəli backend-dir. 9.6.0-alpha.35 və 8.6.50 versiyalarından əvvəl, bir klas üçün `Parse.Cloud.afterLiveQueryEvent` triggeri qeydiyyata alındıqda, LiveQuery serveri qorunan sahələri və `authData`-nı həmin klasın bütün abunəçilərinə sızdırır. Klas Səviyyəli İcazələr (`protectedFields`) vasitəsilə qorunan kimi konfiqurasiya edilmiş sahələr bütün hadisə növləri (create, update, delete, enter, leave) üçün LiveQuery hadisə payload-larına daxil edilir. Təsirə məruz qalan klasa abunə olmaq üçün kifayət qədər CLP icazələri olan istənilən istifadəçi, digər istifadəçilərin qorunan sahə məlumatlarını, o cümlədən həssas şəxsi məlumatları və üçüncü tərəf autentifikasiya provayderlərindən gələn OAuth tokenlərini əldə edə bilər. Zəiflik referans ayrılması (reference detachment) xətası səbəbindən yaranmışdır. `afterEvent` triggeri qeydiyyata alındıqda, LiveQuery serveri hadisə obyektini trigger üçün `Parse.Object`-ə çevirir, sonra isə `toJSONwithObjects()` vasitəsilə yeni JSON surəti yaradır. Həssas məlumat filtri `Parse.Object` referansına tətbiq edilirdi, lakin filtrdən keçməmiş JSON surəti klientlərə göndərilirdi. 9.6.0-alpha.35 və 8.6.50 versiyalarındakı düzəliş təmin edir ki, JSON surəti filtrasiyadan əvvəl cavab obyektinə yenidən təyin edilsin, beləliklə filtr klientlərə göndərilən aktual məlumatlar üzərində işləsin. Müvəqqəti həll yolu kimi bütün `Parse.Cloud.afterLiveQueryEvent` trigger qeydiyyatlarını silin. `afterEvent` triggeri olmadan referans ayrılması baş vermir və qorunan sahələr düzgün şəkildə filtirlənir.