CVE-2026-33323
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 8.6.51 ve 9.6.0-alpha.40 versiyonlarından önce, e-posta doğrulama bağlantılarını yeniden göndermek için kullanılan Pages rotası ve eski PublicAPI rotası, sağlanan kullanıcı adının mevcut olup olmadığına ve doğrulanmamış bir e-postaya sahip olup olmadığına bağlı olarak ayırt edilebilir yanıtlar döndürmektedir. Bu durum, kimliği doğrulanmamış bir saldırganın farklı yönlendirme hedeflerini gözlemleyerek geçerli kullanıcı adlarını tespit etmesine olanak tanır. Varsayılan olarak etkinleştirilen ve API rotasını buna karşı koruyan mevcut emailVerifySuccessOnInvalidEmail yapılandırma seçeneği bu rotalar için geçerli değildi. Bu sorun 8.6.51 ve 9.6.0-alpha.40 versiyonlarında giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.51, 9.6.0 ya da sonraki bir sürüm
- parse-server9.6.0-alpha.40, 8.6.51 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.51, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.51, 9.6.0 |
| parse-servernpm | 9.0.0 ≤ v < 9.6.0-alpha.40, v < 8.6.51 | 9.6.0-alpha.40, 8.6.51 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.