CVE-2026-30939
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 8.6.13 ve 9.5.1-alpha.2 sürümlerinden önce, kimliği doğrulanmamış bir saldırgan, fonksiyon adı olarak bir prototype özellik adını kullanarak bir Cloud Function uç noktasını çağırıp Parse Server işlemini çökertebilir. Sunucu sonsuz özyineleme yaparak işlemi sonlandıran bir call stack size hatasına neden olur. Diğer prototype özellik adları, böyle bir Cloud Function tanımlanmamış olsa bile Cloud Function dağıtım doğrulamasını atlar ve HTTP 200 yanıtları döndürür. Aynı durum nokta notasyonuyla yapılan gezinti (dot-notation traversal) için de geçerlidir. Cloud Function uç noktasını dışarıya açan tüm Parse Server kurulumları etkilenmektedir. Bu güvenlik açığı 8.6.13 ve 9.5.1-alpha.2 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.13, 9.5.1 ya da sonraki bir sürüm
- parse-server8.6.13, 9.5.1-alpha.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.13, 9.0.0 ≤ v < 9.5.1, 9.5.1 | 8.6.13, 9.5.1 |
| parse-servernpm | v < 8.6.13, 9.0.0-alpha.1 ≤ v < 9.5.1-alpha.2 | 8.6.13, 9.5.1-alpha.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.