CVE-2026-33627
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 8.6.61 ve 9.6.0-alpha.55 versiyonlarından önce, GET /users/me isteği yapan kimliği doğrulanmış bir kullanıcı; MFA TOTP sırları ve kurtarma kodları gibi hassas kimlik bilgileri dahil olmak üzere temizlenmemiş yetkilendirme verilerini alır. Uç nokta, oturum sorgusu için dahili olarak master düzeyinde kimlik doğrulaması kullanır ve master bağlamı, auth adapter temizleme işlemini atlayarak kullanıcı verilerine sızar. Bir kullanıcının oturum belirtecini ele geçiren bir saldırgan, süresiz olarak geçerli TOTP kodları oluşturmak için MFA sırlarını çıkarabilir. Bu sorun 8.6.61 ve 9.6.0-alpha.55 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.61, 9.6.0 ya da sonraki bir sürüm
- parse-server9.6.0-alpha.55, 8.6.61 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.61, 9.0.0 ≤ v < 9.6.0, 9.6.0 | 8.6.61, 9.6.0 |
| parse-servernpm | 9.0.0 ≤ v < 9.6.0-alpha.55, v < 8.6.61 | 9.6.0-alpha.55, 8.6.61 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.