CVE-2026-31875
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 9.6.0-alpha.7 ve 8.6.33 sürümlerinden önce, bir kullanıcı hesabı için TOTP aracılığıyla çok faktörlü kimlik doğrulama (MFA) etkinleştirildiğinde, Parse Server iki adet tek kullanımlık kurtarma kodu oluşturur. Bu kodlar, kullanıcının bir TOTP belirteci sağlayamadığı durumlar için yedek olarak tasarlanmıştır. Ancak, kurtarma kodları kullanımdan sonra tüketilmez ve bu durum aynı kurtarma kodunun sınırsız sayıda kullanılabilmesine olanak tanır. Bu durum, kurtarma kodlarının tek kullanımlık tasarımını bozar ve MFA korumalı hesapların güvenliğini zayıflatır. Tek bir kurtarma kodu elde eden bir saldırgan, kod hiçbir zaman geçersiz kılınmadan etkilenen kullanıcı olarak tekrar tekrar kimlik doğrulaması yapabilir. Bu güvenlik açığı 9.6.0-alpha.7 ve 8.6.33 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.33, 9.6.0 ya da sonraki bir sürüm
- parse-server9.6.0-alpha.7, 8.6.33 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.33, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.33, 9.6.0 |
| parse-servernpm | 9.0.0-alpha.1 ≤ v < 9.6.0-alpha.7, v < 8.6.33 | 9.6.0-alpha.7, 8.6.33 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.