CVE-2026-34224
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. Versiyonlar 8.6.64 ve 9.7.0-alpha.8 öncesinde, geçerli bir kimlik doğrulama sağlayıcı belirtecine (token) ve tek bir MFA kurtarma koduna veya SMS tek kullanımlık parolasına sahip olan bir saldırgan, authData giriş uç noktası üzerinden eşzamanlı giriş istekleri göndererek birden fazla kimliği doğrulanmış oturum oluşturabilir. Bu durum, MFA kurtarma kodlarının ve SMS tek kullanımlık parolalarının tek seferlik kullanım garantisini ortadan kaldırarak, meşru kullanıcı tespit edilen oturumları iptal ettikten sonra bile oturum sürekliliğine izin verir. Bu sorun versiyonlar 8.6.64 ve 9.7.0-alpha.8 ile düzeltilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.64, 9.7.0 ya da sonraki bir sürüm
- parse-server9.7.0-alpha.8, 8.6.64 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.64, 9.0.0 ≤ v < 9.7.0, 9.7.0 | 8.6.64, 9.7.0 |
| parse-servernpm | 9.0.0 ≤ v < 9.7.0-alpha.8, v < 8.6.64 | 9.7.0-alpha.8, 8.6.64 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.