CVE-2026-30948
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 9.5.2-alpha.4 ve 8.6.17 sürümlerinden önce mevcut olan saklı siteler arası betik çalıştırma (XSS) zafiyeti, kimliği doğrulanmış herhangi bir kullanıcının JavaScript içeren bir SVG dosyası yüklemesine izin verir. Dosya, Content-Type: image/svg+xml ile satır içi olarak ve koruyucu başlıklar olmadan sunulur; bu durum tarayıcının gömülü betikleri Parse Server kaynağında yürütmesine neden olur. Bu durum, localStorage üzerinden oturum belirteçlerini çalmak ve hesap ele geçirmek için istismar edilebilir. Varsayılan fileExtensions seçeneği HTML dosya uzantılarını engeller ancak bilinen bir XSS vektörü olan SVG'yi engellemez. Kimliği doğrulanmış kullanıcılar için dosya yüklemenin etkin olduğu tüm Parse Server kurulumları (varsayılan ayar) etkilenmektedir. Bu zafiyet 9.5.2-alpha.4 ve 8.6.17 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.17, 9.5.2 ya da sonraki bir sürüm
- parse-server9.5.2-alpha.4, 8.6.17 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.17, 9.0.0 ≤ v < 9.5.2, 9.5.2 | 8.6.17, 9.5.2 |
| parse-servernpm | 9.0.0 ≤ v < 9.5.2-alpha.4, v < 8.6.17 | 9.5.2-alpha.4, 8.6.17 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.