CVE-2026-33409
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 8.6.52 ve 9.6.0-alpha.41 versiyonlarından önce mevcut olan bir kimlik doğrulama atlatma zafiyeti, bir saldırganın kullanıcı bilgilerini bilmeden, üçüncü taraf bir kimlik doğrulama sağlayıcısını bağlamış herhangi bir kullanıcı olarak giriş yapmasına izin verir. Saldırganın, geçerli bir oturum belirteci dahil olmak üzere hesaba tam erişim sağlamak için yalnızca kullanıcının sağlayıcı kimliğini (provider ID) bilmesi yeterlidir. Bu durum, sunucu seçeneği allowExpiredAuthDataToken değerinin true olarak ayarlandığı Parse Server kurulumlarını etkiler. Varsayılan değer false'dur. Bu sorun 8.6.52 ve 9.6.0-alpha.41 versiyonlarında giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.52, 9.6.0 ya da sonraki bir sürüm
- parse-server9.6.0-alpha.41, 8.6.52 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.52, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.52, 9.6.0 |
| parse-servernpm | 9.0.0 ≤ v < 9.6.0-alpha.41, v < 8.6.52 | 9.6.0-alpha.41, 8.6.52 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.