CVE-2026-30967
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 9.5.2-alpha.9. ve 8.6.22 sürümlerinden önce, OAuth2 kimlik doğrulama adaptörü, useridField seçeneği olmadan yapılandırıldığında, yalnızca sağlayıcının token inceleme (introspection) uç noktası aracılığıyla bir token'ın aktif olduğunu doğrular ancak token'ın authData.id ile tanımlanan kullanıcıya ait olduğunu doğrulamaz. Aynı sağlayıcıdan geçerli herhangi bir OAuth2 token'ına sahip olan bir saldırgan, başka herhangi bir kullanıcı olarak kimlik doğrulaması yapabilir. Bu durum, useridField seçeneğini ayarlamadan genel OAuth2 kimlik doğrulama adaptörünü (oauth2: true şeklinde yapılandırılmış) kullanan tüm Parse Server kurulumlarını etkiler. Bu güvenlik açığı 9.5.2-alpha.9. ve 8.6.22 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.22, 9.5.2 ya da sonraki bir sürüm
- parse-server9.5.2-alpha.9, 8.6.22 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.22, 9.0.0 ≤ v < 9.5.2, 9.5.2 | 8.6.22, 9.5.2 |
| parse-servernpm | 9.0.0-alpha.1 ≤ v < 9.5.2-alpha.9, v < 8.6.22 | 9.5.2-alpha.9, 8.6.22 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.