CVE-2026-31856
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. Nokta notasyonu (örneğin, stats.counter) kullanılarak iç içe geçmiş nesne alanları üzerinde Increment işlemleri işlenirken, PostgreSQL depolama adaptöründe bir SQL injection zafiyeti bulunmaktadır. Miktar değeri, parametrelendirme veya tür doğrulaması yapılmadan doğrudan SQL sorgusuna eklenmektedir. Parse Server REST API'sine yazma istekleri gönderebilen bir saldırgan, CLP ve ACL'leri atlayarak veritabanından herhangi bir veriyi okumak için rastgele SQL alt sorguları enjekte edebilir. MongoDB kurulumları etkilenmemektedir. Bu zafiyet 9.6.0-alpha.3 ve 8.6.29 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.29, 9.6.0 ya da sonraki bir sürüm
- parse-server9.6.0-alpha.3, 8.6.29 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.29, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.29, 9.6.0 |
| parse-servernpm | 9.0.0-alpha.1 ≤ v < 9.6.0-alpha.3, v < 8.6.29 | 9.6.0-alpha.3, 8.6.29 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.