CVE-2026-64627
Təsvir
Parse Server-in 9.0.0 və daha yeni versiyaları (9.10.0-alpha.4-dək) və 8.6.85-dən əvvəlki versiyalarında sxemin ifşası zəifliyi mövcuddur. GraphQL API-si ictimai introspeksiya söndürülmüş halda (graphQLPublicIntrospection: false, standart tənzimləmə) quraşdırıldıqda, dəyişən məcburlaması zamanı yaranan GraphQL xəta mesajlarında sxemdən törəmiş 'Did you mean ...?' təklifləri hələ də qaytarılırdı ki, bunlar introspeksiyanın gücləndirilməsi nəzarətinin (yalnız validasiya xətalarını idarə edən) əhatəsində deyildi. Yalnız ictimai tətbiq ID-sinə malik olan autentifikasiya olunmamış çağırıcı, dəyişənləri yaxın uyğunluqlu enum dəyərləri və ya giriş obyekti sahə adları ehtiva edən sorğular və ya mutasiyalar göndərməklə gizli sxem identifikatorlarını — o cümlədən qeydiyyatdan keçmiş Cloud Code funksiya adlarını, Parse klas və sahə adlarını — iterativ şəkildə bərpa edə bilər. Bu, GHSA-8cph-rgr4-g5vj zəifliyinin növbəti yan keçməsidir. Problem 9.10.0-alpha.4 və 8.6.85 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- parse-community parse-server9.10.0-alpha.4, 8.6.85 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| parse-community parse-server | 9.0.0 ≤ v < 9.10.0-alpha.4, v < 8.6.85 | 9.10.0-alpha.4, 8.6.85 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.