CVE-2026-53725

Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. Versiyon 9.8.0 ile versiyon 9.9.1-alpha.5 öncesi arasındaki sürümlerde; MFA özelliğini etkinleştiren ve Sınıf Düzeyinde İzinler (Class-Level Permissions) aracılığıyla _User sınıfındaki get işlemine izin vermeyen uygulamalar, /login ve /verifyPassword uç noktaları üzerinden hassas kullanıcı verilerini ifşa edebilir. Bu uç noktalar, yanıt vermeden önce erişim kontrollü sorgu hattı (CLP, protectedFields, auth-adapter temizleyicileri) üzerinden kullanıcıyı yeniden getirir. Bu yeniden getirme işlemi _User get izni tarafından reddedildiğinde, sunucu ham veritabanı satırına geri döner ve bu durum ham authData'nın (MFA TOTP sırları ve kurtarma kodları dahil) ve protectedFields tarafından gizlenen alanların (protectedFieldsOwnerExempt false olduğunda) ifşa olmasına neden olur. En ciddi olanı /verifyPassword ucudur: Yalnızca bir kullanıcı adı ve şifreyle (oturum veya MFA belirteci olmadan), kurbanın şifresini bilen bir saldırgan, kişinin MFA sırrını ve kurtarma kodlarını elde ederek ikinci faktörü etkisiz hale getirebilir. Bu sorun versiyon 9.9.1-alpha.5 sürümünde düzeltilmiştir.