CVE-2026-53725

Parse Server, Node.js işlədə bilən hər hansı infrastrukturda tətbiq oluna bilən açıq mənbəli backend-dir. Versiya 9.8.0-dan versiya 9.9.1-alpha.5-ə qədər olan versiyalarda, MFA funksiyasını aktivləşdirən və Class-Level Permissions vasitəsilə _User klasında get əməliyyatını qadağan edən tətbiqlər, /login və /verifyPassword son nöqtələri (endpoints) vasitəsilə həssas istifadəçi məlumatlarını ifşa edə bilər. Bu son nöqtələr cavab verməzdən əvvəl istifadəçini girişə nəzarət edilən sorğu boru kəməri (CLP, protectedFields, auth-adapter sanitizers) vasitəsilə yenidən çağırır. Həmin yenidən çağırma prosesi _User get icazəsi ilə rədd edildikdə, server verilənlər bazasının xam sətirinə geri dönür və beləliklə, xam authData-nı (MFA TOTP gizli açarları və bərpa kodları daxil olmaqla) və protectedFields tərəfindən gizlədilmiş sahələri (protectedFieldsOwnerExempt false olduqda) ifşa edir. /verifyPassword ən kritik olanıdır: yalnız istifadəçi adı və şifrə ilə (sessiya və ya MFA tokeni olmadan), qurbanın şifrəsini bilən hücumçu onun MFA gizli açarını və bərpa kodlarını əldə edərək ikinci faktorlu autentifikasiyanı sıradan çıxara bilər. Bu problem 9.9.1-alpha.5 versiyasında aradan qaldırılmışdır.