CVE-2026-61448

Parse Server-in >= 9.0.0, < 9.10.0-alpha.2 və <= 8.6.83 versiyaları saxlanılan saytlararası skriptinq (XSS) boşluğundan təsirlənir. Yüklənmiş faylın genişlənməsi mime paketi tərəfindən tanınmadıqda, Parse Server klient tərəfindən təmin edilən Content-Type dəyərini saxlayır. Düzgün tip/alt-tip media tipi olmayan yanlış formatlı Content-Type (məsələn, 'image', 'image/' və ya 'image//svg+xml') fileUpload.fileExtensions blok siyahısından yan keçir və dəyişdirilmədən saxlanılır. Yüklənmiş Content-Type-ı qeyd edən və təqdim edən yaddaş adaptorlarında (Amazon S3, Google Cloud Storage və ya Azure Blob Storage kimi), brauzer yanlış formatlı dəyəri analiz edə bilmir və MIME-sniffing metoduna keçid edir; gövdəsi HTML ilə başlayan fayl HTML kimi render edilir və fayl URL-ni açan digər istifadəçilərə qarşı tətbiqin mənşəyində daxil edilmiş skript icra olunur. Defolt GridFS yaddaş adaptoru bundan təsirlənmir. Problem 9.10.0-alpha.2 və 8.6.84 versiyalarında düzəldilib.