CVE-2026-32742
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir backend çözümüdür. 9.6.0-alpha.17 ve 8.6.42 sürümlerinden önce, kimliği doğrulanmış bir kullanıcı, `POST /classes/_Session` üzerinden bir oturum nesnesi oluştururken sunucu tarafından oluşturulan oturum alanlarını (`sessionToken`, `expiresAt`, `createdWith`) üzerine yazabilir. Bu durum, rastgele ve uzak bir gelecek son kullanma tarihi belirlenerek sunucunun oturum sona erme politikasının atlatılmasına olanak tanır. Ayrıca tahmin edilebilir bir oturum belirteci değeri atanmasına da izin verir. 9.6.0-alpha.17 ve 8.6.42 sürümleriyle birlikte, oturum oluşturma uç noktası, kullanıcı tarafından sağlanan verilerdeki sunucu tarafından oluşturulan alanları filtreleyerek bunların üzerine yazılmasını engeller. Geçici bir çözüm olarak, `sessionToken`, `expiresAt` ve `createdWith` için kullanıcı tarafından sağlanan değerleri doğrulamak ve reddetmek veya temizlemek amacıyla `_Session` sınıfına bir `beforeSave` tetikleyicisi ekleyin.
Nasıl düzeltilir
- parseplatform parse-server8.6.42, 9.6.0 ya da sonraki bir sürüm
- parse-server9.6.0-alpha.17, 8.6.42 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.42, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.42, 9.6.0 |
| parse-servernpm | 9.0.0 ≤ v < 9.6.0-alpha.17, v < 8.6.42 | 9.6.0-alpha.17, 8.6.42 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.