CVE-2026-32242
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 9.6.0-alpha.11 ve 8.6.37 sürümlerinden önce, Parse Server'ın yerleşik OAuth2 kimlik doğrulama adaptörü, tüm OAuth2 sağlayıcı yapılandırmaları genelinde doğrudan yeniden kullanılan tekil (singleton) bir örnek dışa aktarmaktadır. Farklı OAuth2 sağlayıcıları için gelen eşzamanlı kimlik doğrulama istekleri altında, bir sağlayıcının belirteç doğrulaması başka bir sağlayıcının yapılandırmasını kullanarak yürütülebilir; bu durum, bir sağlayıcı tarafından reddedilmesi gereken bir belirtecin, farklı bir sağlayıcının politikasına göre doğrulandığı için kabul edilmesine potansiyel olarak izin verir. `oauth2: true` bayrağı aracılığıyla birden fazla OAuth2 sağlayıcısı yapılandıran kurulumlar etkilenmektedir. Bu güvenlik açığı 9.6.0-alpha.11 ve 8.6.37 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.37, 9.6.0 ya da sonraki bir sürüm
- parse-server9.6.0-alpha.11, 8.6.37 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.37, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.37, 9.6.0 |
| parse-servernpm | 9.0.0 ≤ v < 9.6.0-alpha.11, v < 8.6.37 | 9.6.0-alpha.11, 8.6.37 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.