CVE-2026-30863
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 8.6.10 ve 9.5.0-alpha.11 versiyonlarından önce; Google, Apple ve Facebook kimlik doğrulama adaptörleri, kimlik belirteçlerini doğrulamak için JWT doğrulamasını kullanır. Adaptörün hedef kitle (audience) yapılandırma seçeneği ayarlanmadığında (Google/Apple için clientId, Facebook için appIds), JWT doğrulaması hedef kitle talebi (audience claim) doğrulamasını sessizce atlar. Bu durum, bir saldırganın farklı bir uygulama için düzenlenmiş geçerli imzalı bir JWT kullanarak hedef Parse Server üzerindeki herhangi bir kullanıcı olarak kimlik doğrulaması yapmasına olanak tanır. Bu sorun 8.6.10 ve 9.5.0-alpha.11 versiyonlarında giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.10, 9.5.0 ya da sonraki bir sürüm
- parse-server9.5.0-alpha.11, 8.6.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.10, 9.0.0 ≤ v < 9.5.0, 9.5.0 | 8.6.10, 9.5.0 |
| parse-servernpm | 9.0.0-alpha.1 ≤ v < 9.5.0-alpha.11, v < 8.6.10 | 9.5.0-alpha.11, 8.6.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.