CVE-2026-32943
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 9.6.0-alpha.28 ve 8.6.48 sürümlerinden önce, şifre sıfırlama mekanizması sıfırlama belirteçleri (token) için tek kullanımlık garanti sağlamamaktadır. Bir kullanıcı şifre sıfırlama talebinde bulunduğunda, oluşturulan belirteç kısa bir zaman penceresi içinde birden fazla eşzamanlı istek tarafından tüketilebilir. Şifre sıfırlama belirtecini ele geçiren bir saldırgan, meşru kullanıcının şifre sıfırlama isteğiyle yarışarak her iki isteğin de başarılı olmasına neden olabilir. Bu durum, meşru kullanıcının şifresinin başarıyla değiştirildiğine inanmasına yol açarken aslında saldırganın belirlediği şifrenin geçerli olmasıyla sonuçlanabilir. Şifre sıfırlama özelliğini kullanan tüm Parse Server kurulumları etkilenmektedir. 9.6.0-alpha.28 ve 8.6.48 sürümleriyle birlikte, şifre sıfırlama belirteci artık şifre güncelleme işleminin bir parçası olarak atomik şekilde doğrulanmakta ve tüketilmektedir. Şifreyi güncelleyen veritabanı sorgusu, sıfırlama belirtecini bir koşul olarak içererek yalnızca bir eşzamanlı isteğin belirteci başarıyla tüketebilmesini sağlar. Aynı belirteci kullanan sonraki istekler, belirteç zaten temizlendiği için başarısız olacaktır. Güncelleme yapmak dışında bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- parseplatform parse-server8.6.48, 9.6.0 ya da sonraki bir sürüm
- parse-server9.6.0-alpha.28, 8.6.48 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.48, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.48, 9.6.0 |
| parse-servernpm | 9.0.0 ≤ v < 9.6.0-alpha.28, v < 8.6.48 | 9.6.0-alpha.28, 8.6.48 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.