CVE-2026-47138

Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 8.6.77 ve 9.9.1-alpha.1 versiyonlarından önce, herkese açık olarak bilinen bir Parse Application ID'sine sahip kimliği doğrulanmamış bir saldırgan, istemci SDK versiyon alanı rakip girdi içeren tek bir HTTP isteği göndererek bir istek başlığı ayrıştırıcısında polinomsal geri izleme (polynomial backtracking) tetikleyebilir. Ayrıştırma işlemi, her /parse/* isteğinde oturum kimlik doğrulaması ve hız sınırlamadan önce gerçekleşir; bu nedenle istek, herhangi bir erişim kontrolü tarafından değerlendirilmeden önce bir Node.js işçisinde saniyelerce veya dakikalarca senkron CPU tüketir. Az sayıda eşzamanlı istek bir işçiyi doyurabilir; gövde alanı varyantı üzerinden gelen tek bir büyük istek ise bir işçiyi dakikalarca kilitleyebilir. Varsayılan yapılandırmada çalışan üretim dağıtımları etkilenmektedir. Bu sorun 8.6.77 ve 9.9.1-alpha.1 versiyonlarında düzeltilmiştir.