CVE-2026-32234
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 9.6.0-alpha.10 ve 8.6.36 sürümlerinden önce, Parse Server veritabanı olarak PostgreSQL ile yapılandırıldığında, master key erişimine sahip bir saldırgan, sorgu kısıtlamalarında kullanılan özel olarak hazırlanmış alan adları aracılığıyla kötü amaçlı SQL enjekte edebilir. Bir $regex sorgu operatöründeki alan adı, parametreleştirilmemiş dize interpolasyonu kullanılarak PostgreSQL'e aktarılır ve bu durum saldırganın SQL sorgusunu manipüle etmesine olanak tanır. Master key, Parse Server soyutlama katmanı üzerinden nelerin yapılabileceğini kontrol ederken, bu SQL enjeksiyonu Parse Server'ı tamamen atlayarak veritabanı düzeyinde işlem yapar. Bu güvenlik açığı yalnızca PostgreSQL kullanan Parse Server kurulumlarını etkiler. Bu sorun 9.6.0-alpha.10 ve 8.6.36 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.36, 9.6.0 ya da sonraki bir sürüm
- parse-server9.6.0-alpha.10, 8.6.36 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.36, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.36, 9.6.0 |
| parse-servernpm | 9.0.0 ≤ v < 9.6.0-alpha.10, v < 8.6.36 | 9.6.0-alpha.10, 8.6.36 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.