CVE-2026-31868
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 9.6.0-alpha.4 ve 8.6.30 sürümlerinden önce, bir saldırgan, Parse Server fileUpload.fileExtensions seçeneğinin varsayılan yapılandırması tarafından engellenmeyen bir dosya uzantısına veya içerik türüne sahip bir dosya yükleyebilir. Dosya; örneğin bir SVG veya XHTML dosyası içindeki JavaScript gibi kötü amaçlı kodlar içerebilir. Dosyaya URL'si üzerinden erişildiğinde, tarayıcı dosyayı işler ve kötü amaçlı kodu Parse Server alan adı bağlamında yürütür. Bu durum; oturum belirteçlerini çalmak, kullanıcıları yönlendirmek veya diğer kullanıcılar adına işlemler gerçekleştirmek için istismar edilebilen saklı bir siteler arası betik çalıştırma (XSS) zafiyetidir. Etkilenen dosya uzantıları ve içerik türleri arasında .svgz, .xht, .xml, .xsl, .xslt ile uzantısız yüklemeler için application/xhtml+xml ve application/xslt+xml içerik türleri yer almaktadır. .html, .htm, .shtml, .xhtml ve .svg dosyalarının yüklenmesi zaten engellenmişti. Bu zafiyet 9.6.0-alpha.4 ve 8.6.30 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.30, 9.6.0 ya da sonraki bir sürüm
- parse-server9.6.0-alpha.4, 8.6.30 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.30, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.30, 9.6.0 |
| parse-servernpm | 9.0.0-alpha.1 ≤ v < 9.6.0-alpha.4, v < 8.6.30 | 9.6.0-alpha.4, 8.6.30 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.