CVE-2026-100631

Parse Server açık kaynaklı bir arka uç sunucusudur. 8.6.90 öncesindeki sürümlerde ve 9.0.0 ile 9.10.1-alpha.9 arasındaki sürümlerde, kurulum kayıtları için cihaz belirteci tekilleştirme mantığı, istemci tarafından sağlanan kurulum alanlarının türünü veritabanı sorguları oluşturmak için kullanmadan önce doğrulamamaktadır. Yalnızca genel uygulama kimliğini bilen kimliği doğrulanmamış uzaktan bir saldırgan, bu alanlarda dize olmayan değerler göndererek sorgu operatörleri enjekte edebilir; bu durum, sınıf düzeyindeki izinler değerlendirilmeden önce yüksek ayrıcalıklarla çalışan tekilleştirme temizleme işleminin uygulamadaki tüm cihaz kayıtlarını veya saldırgan tarafından seçilen bir alt kümeyi silmesine neden olur. Herhangi bir hesap, oturum belirteci, ana anahtar veya kullanıcı etkileşimi gerekmez. Silinen kayıtlar sunucuda geri getirilemez, bu nedenle her istemci yeniden kayıt olana kadar anlık bildirimler iletilemez. REST API'yi istemcilere açan ve anlık bildirimler kullanan tüm dağıtımlar varsayılan yapılandırmasında etkilenir. 8.6.90 ve 9.10.1-alpha.9 sürümleri, dize olmayan değerleri bir istemci hatasıyla reddederek ve tekilleştirme temizlemesini çağıran uygulama ile sınırlandırarak sorunu giderir. Güncelleme dışında herhangi bir geçici çözüm mevcut değildir.