CVE-2025-68150
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 8.6.2 ve 9.1.1-alpha.1 versiyonlarından önce, Instagram kimlik doğrulama adaptörü, istemcilerin `authData` içindeki `apiURL` parametresi aracılığıyla özel bir API URL'si belirtmesine izin vermektedir. Bu durum, kötü niyetli uç noktaların yetkisiz kullanıcıları doğrulamak için sahte yanıtlar döndürmesi halinde SSRF saldırılarına ve muhtemelen kimlik doğrulama atlatmaya olanak tanır. Bu sorun, Instagram Graph API URL'sinin `https://graph.instagram.com` olarak sabitlenmesi ve istemci tarafından sağlanan `apiURL` değerlerinin yoksayılmasıyla 8.6.2 ve 9.1.1-alpha.1 versiyonlarında düzeltilmiştir. Bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- parseplatform parse-server8.6.2 ya da sonraki bir sürüm
- parse-server9.1.1-alpha.1, 8.6.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.2, 9.0.0, 9.1.0 | 8.6.2 |
| parse-servernpm | 9.0.0 ≤ v < 9.1.1-alpha.1, v < 8.6.2 | 9.1.1-alpha.1, 8.6.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.