CVE-2026-32878
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 9.6.0-alpha.20 ve 8.6.44 sürümlerinden önce bir saldırgan, derin kopyalama mekanizmasındaki prototype pollution açığını kullanan özel olarak hazırlanmış bir istek göndererek varsayılan istek anahtar kelime engelleme listesi korumasını ve alan ekleme için sınıf düzeyindeki izinleri atlayabilir. Bu durum, alan eklemenin kilitlendiği sınıf şemalarına alanların enjekte edilmesine olanak tanır ve master key ile bile çözülemeyen kalıcı şema tipi çakışmalarına neden olabilir. 9.6.0-alpha.20 ve 8.6.44 sürümlerinde, savunmasız üçüncü taraf derin kopyalama kitaplığı, prototip özelliklerini güvenli bir şekilde işleyen yerleşik bir derin klonlama mekanizmasıyla değiştirilerek mevcut engelleme listesi kontrolünün yasaklanmış anahtar kelimeyi doğru şekilde tespit etmesi ve reddetmesi sağlanmıştır. Bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- parseplatform parse-server8.6.44, 9.6.0 ya da sonraki bir sürüm
- parse-server9.6.0-alpha.20, 8.6.44 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.44, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.44, 9.6.0 |
| parse-servernpm | 9.0.0 ≤ v < 9.6.0-alpha.20, v < 8.6.44 | 9.6.0-alpha.20, 8.6.44 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.