CVE-2026-64627
Açıklama
Parse Server 9.0.0 ve üzeri sürümlerden 9.10.0-alpha.4 öncesi sürümler ile 8.6.85 öncesi sürümler bir şema ifşası güvenlik açığı içerir. GraphQL API'si genel iç gözlem devre dışı bırakılarak (graphQLPublicIntrospection: false, varsayılan) bağlandığında, değişken zorlaması sırasında üretilen GraphQL hata mesajlarında şemadan türetilen 'Did you mean ...?' önerileri hâlâ döndürülüyordu; bu hata mesajları iç gözlem sertleştirme kontrolünün kapsamında değildi (bu kontrol yalnızca doğrulama hatalarını ele alıyordu). Yalnızca genel uygulama kimliğine sahip kimliği doğrulanmamış bir çağıran, değişkenleri yakın ama hatalı enum değerleri veya input-object alan adları içeren sorgular ya da mutasyonlar göndererek gizli şema tanımlayıcılarını — kayıtlı Cloud Code fonksiyon adları ile Parse sınıf ve alan adları dahil — yinelemeli olarak kurtarabilir. Bu, GHSA-8cph-rgr4-g5vj için bir takip atlatmasıdır. Sorun 9.10.0-alpha.4 ve 8.6.85 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- parse-community parse-server9.10.0-alpha.4, 8.6.85 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parse-community parse-server | 9.0.0 ≤ v < 9.10.0-alpha.4, v < 8.6.85 | 9.10.0-alpha.4, 8.6.85 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.