CVE-2026-34595
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. Versiyonlar 8.6.70 ve 9.7.0-alpha.18 öncesinde, sınıf düzeyinde find iznine sahip kimliği doğrulanmış bir kullanıcı, LiveQuery aboneliklerindeki protectedFields sınıf düzeyi izin ayarını atlayabilir. Bir aboneliği dizi yerine sayısal anahtarlara ve bir length özelliğine sahip düz bir nesne ("dizi benzeri" bir nesne) olarak $or, $and veya $nor operatör değeriyle göndererek, korumalı alan denetimi atlatılır. Abonelik olayının tetiklenmesi ikili bir oracle görevi görerek saldırganın, korumalı bir alanın belirli bir test değeriyle eşleşip eşleşmediğini anlamasına olanak tanır. Bu sorun versiyonlar 8.6.70 ve 9.7.0-alpha.18 ile giderilmiştir.
Nasıl düzeltilir
- parseplatform parse-server8.6.70, 9.7.0 ya da sonraki bir sürüm
- parse-server9.7.0-alpha.16, 8.6.70 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 8.6.70, 9.0.0 ≤ v < 9.7.0, 9.7.0 | 8.6.70, 9.7.0 |
| parse-servernpm | 9.0.0 ≤ v < 9.7.0-alpha.16, v < 8.6.70 | 9.7.0-alpha.16, 8.6.70 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.