CVE-2026-32728

Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir backend çözümüdür. 9.6.0-alpha.15 ve 8.6.41 sürümlerinden önce, dosya yükleme yetkisine sahip bir saldırgan, `Content-Type` başlığına bir MIME parametresi (örneğin `;charset=utf-8`) ekleyerek dosya uzantısı filtresini atlayabilir. Bu durum, uzantı doğrulamasının engelleme listesiyle eşleşmemesine neden olarak aktif içeriğin uygulamanın alanı altında depolanmasına ve sunulmasına olanak tanır. Ek olarak, web tarayıcılarında betikleri çalıştırabilen belirli XML tabanlı dosya uzantıları varsayılan engelleme listesinde yer almamaktadır. Bu durum; oturum belirteçlerinin, kullanıcı kimlik bilgilerinin veya tarayıcının yerel depolaması üzerinden erişilebilen diğer hassas verilerin tehlikeye girdiği kayıtlı siteler arası betik çalıştırma (XSS) saldırılarına yol açabilir. 9.6.0-alpha.15 ve 8.6.41 sürümlerindeki düzeltme, dosya uzantısını engelleme listesine göre doğrulamadan önce `Content-Type` başlığındaki MIME parametrelerini temizler. Varsayılan engelleme listesi ayrıca, web tarayıcılarında aktif içerik çalıştırabilen ek XML tabanlı uzantıları (`xsd`, `rng`, `rdf`, `rdf+xml`, `owl`, `mathml`, `mathml+xml`) içerecek şekilde genişletilmiştir. `fileUpload.fileExtensions` seçeneğinin, bir yasaklama listesi olarak değil, belirli bir uygulama için geçerli olan dosya uzantılarının izin listesi olarak yapılandırılması amaçlandığını unutmayın. Varsayılan yasaklama listesi, yalnızca en yaygın sorunlu uzantıları kapsayan temel bir varsayılan olarak sağlanmıştır. Potansiyel olarak tehlikeli tüm uzantıların kapsamlı bir listesi olması amaçlanmamıştır. Gelecekte tarayıcılarda aktif içerik çalıştırabilen yeni uzantılar ortaya çıkabileceği için geliştiriciler varsayılan değere güvenmemelidir. Geçici bir çözüm olarak, varsayılan engelleme listesine güvenmek yerine `fileUpload.fileExtensions` seçeneğini yalnızca uygulamanızın ihtiyaç duyduğu dosya uzantılarından oluşan bir izin listesi kullanacak şekilde yapılandırın.