CVE-2026-30965
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 9.5.2-alpha.8 ve 8.6.21 sürümlerinden önce, Parse Server'ın sorgu işleme mekanizmasındaki bir güvenlik açığı, kimliği doğrulanmış veya doğrulanmamış bir saldırganın redirectClassNameForKey sorgu parametresini istismar ederek diğer kullanıcıların oturum belirteçlerini sızdırmasına olanak tanır. Sızdırılan oturum belirteçleri, kullanıcı hesaplarını ele geçirmek için kullanılabilir. Güvenlik açığının tetiklenmesi için saldırganın, en az bir sınıfın Sınıf Düzeyindeki İzinlerine (Class-Level Permissions) bağlı olarak yeni bir ilişki alanı ile nesne oluşturabilmesi veya güncelleyebilmesi gerekir. Bu güvenlik açığı 9.5.2-alpha.8 ve 8.6.21 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.21, 9.5.2 ya da sonraki bir sürüm
- parse-server9.5.2-alpha.8, 8.6.21 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.21, 9.0.0 ≤ v < 9.5.2, 9.5.2 | 8.6.21, 9.5.2 |
| parse-servernpm | 9.0.0-alpha.1 ≤ v < 9.5.2-alpha.8, v < 8.6.21 | 9.5.2-alpha.8, 8.6.21 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.