CVE-2025-64430

Yüksek

Açıklama

Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 4.2.0 ile 7.5.3 ve 8.0.0 ile 8.3.1-alpha.1 arasındaki sürümlerde, uri parametresiyle bir Parse.File yüklenmeye çalışıldığında dosya yükleme işlevinde rastgele bir URI'nin yürütülmesine izin veren bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. Zafiyet, Parse Server'ın istekte sağlanan bir URI'den dosya verilerini aldığı bir dosya yükleme özelliğinden kaynaklanmaktadır. Sağlanan URI'ye bir istek gönderilir ancak sunucu yanıtı aldığında çöktüğü için yanıt Parse Server'ın dosya depolamasında saklanmaz. Bu sorun 7.5.4 ve 8.4.0-alpha.1 sürümlerinde düzeltilmiştir.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünParse-server

Yayın7 Kas 2025

İlk görülme7 Kas 2025

Zayıflık türüCWE-918Sunucu taraflı istek sahteciliği (SSRF)

Nasıl düzeltilir

Güncelleyin

parse-server7.5.4, 8.4.0-alpha.2 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
parse-servernpm	4.2.0 ≤ v < 7.5.4, 8.0.0 ≤ v < 8.4.0-alpha.2	7.5.4, 8.4.0-alpha.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.