Mtrezza

**اسم البرنامج المصاب والإصدارات المتأثرة** Parse Server الإصدارات السابقة لـ 8.6.97 Parse Server الإصدارات من 9.0.0 إلى 9.10.2-alpha.5 **Description** يحدث خطأ في معالجة الأخطاء عند إرسال رسائل البريد الإلكتروني للتحقق أو إعادة تعيين كلمة المرور، مما قد يؤدي إلى خروج عملية الخادم. يمكن للمهاجم الذي يمتلك مفاتيح التطبيق العامة التسبب في تعطل الخادم من خلال بدء عملية التسجيل، أو طلب بريد إلكتروني للتحقق، أو طلب إعادة تعيين كلمة المرور في الوقت الذي يكون فيه مزود البريد الإلكتروني غير متاح، أو يرفض الطلب، أو يطبق قيودًا على معدل الإرسال. **Recommendations** تحديث Parse Server إلى الإصدار 8.6.97 أو أحدث. تحديث Parse Server إلى الإصدار 9.10.2-alpha.6 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Parse Server الإصدارات من 5.4.0 إلى 8.6.95 Parse Server الإصدارات من 9.0.0 إلى 9.10.2-alpha.4 **Description** يتم مشاركة حالة الدفعة المعاملاتية عبر الطلبات المتزامنة، مما يسمح لطلب دفعة معاملاتية من أي عميل بالتداخل مع عمليات كتابة قاعدة البيانات لعملاء آخرين. في البيئات التي تستخدم PostgreSQL أو مجموعات نسخ MongoDB والمجموعات المجزأة، قد يتم التراجع عن عمليات الكتابة المؤكدة لعملاء آخرين إذا فشلت الدفعة. بالإضافة إلى ذلك، يمكن أن تظل معاملات PostgreSQL مفتوحة إلى أجل غير مسمى، مما قد يؤدي إلى فشل عمليات الكتابة اللاحقة. **Recommendations** تحديث Parse Server إلى الإصدار 8.6.96 أو أحدث. تحديث Parse Server إلى الإصدار 9.10.2-alpha.5 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Parse Server الإصدارات السابقة لـ 8.6.95 Parse Server الإصدارات من 9.0.0 إلى 9.10.2-alpha.2 **Description** يفشل البرنامج في تحليل مراجع الملفات التي تفتقر إلى URL قبل تمرير الكائنات إلى LiveQuery ومشغلات Cloud Code. يؤدي هذا الخلل إلى حدوث استثناء غير معالج يتسبب في إنهاء العملية. يمكن للمهاجمين القادرين على الكتابة في فئة مفعل بها LiveQuery أو مشغلات الحفظ أو البحث أو الحذف الخاصة بـ Cloud Code — بما في ذلك المستخدمون غير المصرح لهم عندما يكون الوصول العام للكتابة أو التسجيل مسموحًا — التسبب في تعطل الخادم أو تعطيل الطلبات اللاحقة. **Recommendations** تحديث Parse Server إلى الإصدار 8.6.95 أو أحدث. تحديث Parse Server إلى الإصدار 9.10.2-alpha.3 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Parse Server الإصدارات السابقة لـ 8.6.93 Parse Server الإصدارات من 9.0.0 إلى 9.10.1-alpha.12 **الوصف** لا يتم فرض `protectedFields` ذات النطاق الهوياتي (بما في ذلك المجموعات الموثقة أو المجموعات القائمة على الأدوار أو المجموعات الخاصة بالمستخدم) في استعلامات العد التي تستخدم عامل التشغيل `$relatedTo`. يتيح ذلك للمستخدم الموثق الذي يملك صلاحية القراءة للكائن المالك دمج عمليات العد مع قيد `objectId` كأداة استعلام عن العضوية (membership oracle)، مما قد يؤدي إلى كشف حجم حقول العلاقة المحمية والعضويات السرية، مثل قوائم الحظر أو المجموعات الخاصة. **التوصيات** تحديث Parse Server إلى الإصدار 8.6.93 أو أحدث. تحديث Parse Server إلى الإصدار 9.10.1-alpha.13 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Parse Server الإصدارات من 8.2.2 إلى 8.6.93 Parse Server الإصدارات من 9.0.0 إلى 9.10.1-alpha.13 **Description** يتم تطبيق التحكم في استبطان GraphQL فقط على نص العملية المرسل مباشرة مع الطلب، ولا يشمل العمليات التي يتم حلها من ذاكرة التخزين المؤقت للاستعلامات المستمرة التلقائية لـ Apollo Server. يتيح ذلك للمهاجمين غير المصرح لهم الذين يمتلكون معرف التطبيق (Application Id) العام ومفتاح العميل إعادة تشغيل استعلام استبطان تم تخزينه مسبقًا في ذاكرة التخزين المؤقت بواسطة عميل يستخدم مفتاحًا رئيسيًا أو مفتاح صيانة لاسترداد المخطط، بما في ذلك أسماء الفئات والحقول الخاصة. **Recommendations** تحديث Parse Server إلى الإصدار 8.6.94 أو أحدث. تحديث Parse Server إلى الإصدار 9.10.1-alpha.14 أو أحدث.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions 8.2.2 through 8.6.91 Parse Server versions 9.0.0 through 9.10.1-alpha.11 **Description** An information disclosure issue exists where GraphQL validation error messages reveal hidden class names even when public introspection is disabled. Unauthenticated attackers with the public Application Id can send crafted operations to trigger unknown-argument or invalid enum value errors, allowing them to discover pointer and relation target classes. **Recommendations** Update Parse Server to version 8.6.92 or later. Update Parse Server to version 9.10.1-alpha.12 or later.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions 9.0.0 through 9.10.1-alpha.9 Parse Server versions 8.0.2 through 8.6.90 **Description** Code-based authentication adapters for GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, and Weibo fail to verify the client authorization code with the external provider when authentication data is submitted with a username and password at the login endpoint. This allows an authenticated user with low privileges to link an unverified provider identity to their account without contacting the provider, enabling the spoofing of external identities. Additionally, an attacker can pre-hijack accounts by claiming a provider ID of a victim who has not yet linked that provider, causing the victim's subsequent legitimate sign-in to resolve to the attacker's account. This issue only impacts deployments that configure the affected code-based authentication adapters. **Recommendations** Update Parse Server to version 9.10.1-alpha.10 or later. Update Parse Server to version 8.6.91 or later. As a temporary workaround, disable the affected code-based authentication adapters.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions 9.0.0 through 9.10.1-alpha.7 Parse Server versions prior to 8.6.89 **Description** LiveQuery evaluates the `protectedFields` class-level permission using an incompletely resolved caller identity. Because subscriber roles are not resolved and subscriptions without a session token are redacted against an anonymous identity, field masks defined for specific roles, authenticated users, or individual users are not applied. This allows authenticated subscribers to receive field values that the REST API would normally withhold and enables the use of masked fields to filter or watch a subscription. This issue only affects classes with LiveQuery enabled that define `protectedFields` under role, authenticated, or per-user groups; masks under the public (*) group function correctly. **Recommendations** Update versions 9.0.0 through 9.10.1-alpha.7 to version 9.10.1-alpha.8. Update versions prior to 8.6.89 to version 8.6.89. Define the affected field masks under the public (*) group. Disable LiveQuery for classes whose class-level permissions rely on role-scoped, authenticated, or per-user `protectedFields` groups.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 8.6.90 Parse Server versions 9.0.0 through 9.10.1-alpha.8 **Description** The device token deduplication logic for installation records fails to validate the type of client-supplied installation fields before using them to construct database queries. An unauthenticated remote attacker with knowledge of the public application ID can submit non-string values in these fields to inject query operators. This causes the deduplication cleanup process, which operates with elevated privileges before class-level permissions are checked, to delete all device registrations in the application or a specific subset chosen by the attacker. This action results in the permanent loss of registrations on the server, preventing the delivery of push notifications until all clients re-register. Any deployment using push notifications that exposes the REST API to clients is affected in its default configuration. **Recommendations** Update to version 8.6.90 or later. Update to version 9.10.1-alpha.9 or later.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 8.6.88 Parse Server versions 9.0.0 through 9.10.1-alpha.6 **Description** An authentication bypass exists in the built-in LDAP authentication adapter. The adapter forwards the client-supplied password to the directory without verifying if a password was provided and treats any non-error response as successful authentication. A zero-length credential converts an LDAP simple bind into an unauthenticated mechanism, which some directories, such as Active Directory in its default configuration, may accept by mapping the connection to anonymous. This allows an unauthenticated attacker with a known directory username to obtain a valid session token and take over the account. This issue only affects deployments with the LDAP authentication adapter enabled and directories that do not refuse unauthenticated simple binds. **Recommendations** Update to version 8.6.88. Update to version 9.10.1-alpha.7. Disable the LDAP authentication adapter if it is not required.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Parse Server من 9.0.0 إلى 9.10.0-alpha.5 إصدارات Parse Server من 8.2.2 إلى 8.6.86 **الوصف** توجد مشكلة تتمثل في الكشف عن أسماء فئات الهدف في «Pointer» و«Relation» من خلال رسائل أخطاء التحقق من صحة GraphQL ورسائل أخطاء إجبار المدخلات. يحدث هذا عند تعطيل الاستبطان العام للمخطط عبر المتغير `graphQLPublicIntrospection`. ونظرًا لأن هذه الأخطاء يتم إنشاؤها قبل المصادقة أو التفويض أو تنفيذ المحلل، يمكن لعميل غير مصادق عليه يمتلك معرّف التطبيق العام أن يثير أخطاء في حقول Pointer أو Relation لإعادة بناء أسماء فئات المخطط المخفية. وهذا يتجاوز جزئيًا إجراءات الحماية الخاصة بإخفاء المخطط، على الرغم من أن ما يتم الكشف عنه هو بيانات تعريف المخطط فقط، ولا يتم الكشف عن أي بيانات كائنات أو بيانات اعتماد أو سجلات مستخدمين. **التوصيات** قم بتحديث Parse Server إلى الإصدار 9.10.0-alpha.6 أو أحدث. قم بتحديث Parse Server إلى الإصدار 8.6.87 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Parse Server من 9.0.0 إلى 9.10.0-alpha.4 إصدارات Parse Server من 8.2.2 إلى 8.6.85 **الوصف** تكشف رسائل أخطاء التحقق من صحة GraphQL عن أسماء حقول الإدخال المخصصة المطلوبة حتى عند تعطيل الاستبطان العام عبر المتغير `graphQLPublicIntrospection`. يمكن للمهاجم الذي يمتلك معرّف التطبيق العام فقط أن يثير هذه الأخطاء لاكتشاف الحقول المخصصة المطلوبة غير الفارغة في الفئات التي يشير إليها بالفعل بالاسم. ويقوض هذا السلوك جزئيًا الغرض من إخفاء المخطط. ولا يتم الكشف عن أي بيانات مخزنة أو بيانات اعتماد أو أسماء حقول اختيارية أو أسماء فئات غير مشار إليها أو أسماء وظائف Cloud Code. **التوصيات** قم بتحديث Parse Server إلى الإصدار 9.10.0-alpha.5 أو أحدث. قم بتحديث Parse Server إلى الإصدار 8.6.86 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Parse Server من 9.0.0 حتى 9.10.0-alpha.3 إصدارات Parse Server السابقة للإصدار 8.6.85 **الوصف** توجد مشكلة في الكشف عن المخطط عندما يتم تكوين واجهة برمجة تطبيقات GraphQL مع تعيين `graphQLPublicIntrospection` على `false`. تستمر رسائل الخطأ التي يتم إنشاؤها أثناء إجبار المتغيرات في تقديم اقتراحات مستمدة من المخطط، متجاوزةً بذلك التحكم في تقوية الاستبطان. يمكن للمستخدم غير المصادق عليه الذي يمتلك معرّف التطبيق العام استرداد معرّفات المخطط المخفية بشكل متكرر، مثل أسماء فئات وحقول Parse وأسماء وظائف Cloud Code المسجلة، عن طريق إرسال استعلامات أو تعديلات بقيم قائمة تكرارية شبه مطابقة أو أسماء حقول كائن الإدخال. **التوصيات** التحديث إلى الإصدار 9.10.0-alpha.4 أو أحدث. التحديث إلى الإصدار 8.6.85 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Parse Server من 9.0.0 إلى 9.10.0-alpha.1 إصدارات Parse Server من 8.x إلى 8.6.83 **الوصف** توجد مشكلة في البرمجة النصية عبر المواقع (XSS) المخزنة عندما يفشل البرنامج في التعرف على امتداد الملف الذي تم تحميله عبر حزمة mime، مما يؤدي إلى الاحتفاظ بنوع المحتوى (Content-Type) المقدم من العميل. يمكن لـ Content-Type غير الصحيح الذي لا يتبع تنسيقًا صالحًا لنوع الوسائط/النوع الفرعي (على سبيل المثال، ’image‘ أو ’image/‘ أو ’image//svg+xml‘) تجاوز قائمة الحظر `fileUpload.fileExtensions` وتخزينه دون تعديل. عند استخدام محولات التخزين التي تحتفظ بنوع المحتوى (Content-Type) الذي تم تحميله وتقدمه، مثل Amazon S3 أو Google Cloud Storage أو Azure Blob Storage، قد تفشل المتصفحات في تحليل القيمة غير الصحيحة وإجراء عملية استكشاف MIME. وهذا يسمح بعرض ملف يبدأ بـ HTML على أنه HTML، مما يؤدي إلى تنفيذ البرامج النصية المضمنة في مصدر التطبيق ضد المستخدمين الذين يصلون إلى عنوان URL للملف. لا يتأثر محول التخزين الافتراضي GridFS بهذه المشكلة. **التوصيات** قم بالتحديث إلى الإصدار 9.10.0-alpha.2 أو أحدث. قم بالتحديث إلى الإصدار 8.6.84 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Parse Server الأقدم من 8.6.66 إصدارات Parse Server الأقدم من 9.7.0-alpha.10 **الوصف** يوجد في Parse Server، وهو نظام خلفي مفتوح المصدر قابل للنشر على البنى التحتية لـ Node.js، مشكلة تتمثل في أن نقطة نهاية واجهة برمجة التطبيقات (API) لـ GraphQL لا تفرض خيار الخادم `allowOrigin`، مما يسمح دون قيد أو شرط بالطلبات عبر الأصول من أي موقع ويب. وهذا يتجاوز قيود الأصول التي تم تكوينها من قبل المشغلين للتحكم في تفاعلات مواقع الويب مع واجهة برمجة التطبيقات (API) لـ Parse Server. أما واجهة برمجة التطبيقات (API) REST فتفرض بشكل صحيح قيد `allowOrigin` الذي تم تكوينه. تؤثر هذه المشكلة على نقطة نهاية واجهة برمجة التطبيقات (API) ’‘/graphql''. **التوصيات** قم بالترقية إلى إصدار Parse Server 8.6.66 أو أحدث. قم بالترقية إلى إصدار Parse Server 9.7.0-alpha.10 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Parse Server الأقدم من 8.6.65 إصدارات Parse Server الأقدم من 9.7.0-alpha.9 **الوصف** يتأثر Parse Server، وهو نظام خلفي مفتوح المصدر قابل للنشر على البنى التحتية لـ Node.js، بمشكلة قد تؤدي إلى تسرب البيانات الحساسة إلى عملاء غير مصرح لهم أو تلقي عملاء مصرح لهم لبيانات غير كاملة عندما يشترك عدة عملاء في نفس الفئة عبر LiveQuery. يحدث هذا لأن معالجات الأحداث تعالج المشتركين بشكل متزامن باستخدام كائنات قابلة للتغيير مشتركة، ويقوم مرشح البيانات الحساسة بتعديل هذه الكائنات في مكانها. بالإضافة إلى ذلك، قد تتسرب التعديلات الناتجة عن مشغل afterEvent في Cloud Code الخاص بأحد المشتركين إلى مشتركين آخرين من خلال نفس الحالة القابلة للتغيير المشتركة. أي نشر يستخدم LiveQuery مع حقول محمية أو مشغلات afterEvent معرض للتأثر بهذه المشكلة. **التوصيات** يجب تحديث إصدارات Parse Server الأقدم من 8.6.65 إلى الإصدار 8.6.65 أو أحدث. يجب تحديث إصدارات Parse Server الأقدم من 9.7.0-alpha.9 إلى الإصدار 9.7.0-alpha.9 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Parse Server الأقدم من 8.6.58 إصدارات Parse Server الأقدم من 9.6.0-alpha.52 **الوصف** يمكن لمهاجم غير مصدق هويته التسبب في هجوم «رفض الخدمة» (DoS) عن طريق إرسال طلبات مصادقة تحتوي على أسماء مزودين عشوائية وغير مكونة. يقوم الخادم بتنفيذ استعلام قاعدة بيانات لكل مزود غير مكون قبل رفض الطلب. ونظرًا لعدم وجود فهرس قاعدة بيانات للمزودين غير المُهيئين، فإن كل طلب يؤدي إلى إجراء مسح كامل لمجموعة قاعدة بيانات المستخدمين، وهو ما يمكن تنفيذه بشكل متوازٍ لإرهاق موارد قاعدة البيانات. **التوصيات** الترقية إلى الإصدار 8.6.58 أو أحدث من Parse Server. الترقية إلى الإصدار 9.6.0-alpha.52 أو أحدث من Parse Server.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Parse Server الأقدم من 8.6.59 إصدارات Parse Server الأقدم من 9.6.0-alpha.53 **الوصف** يحتوي Parse Server، وهو نظام خلفي مفتوح المصدر قابل للنشر على بنية Node.js، على ثغرة تسمح للمهاجم الذي يمتلك حق الوصول إلى المفتاح الرئيسي بتنفيذ أوامر SQL تعسفية على قاعدة بيانات PostgreSQL. ويتم ذلك عن طريق حقن أحرف خاصة بـ SQL في معلمات أسماء الحقول ضمن مرحلة خط أنابيب التجميع `$group` أو عملية `distinct`. يسمح الاستغلال الناجح بتصعيد الامتيازات، مما يمنح المهاجم وصولاً على مستوى قاعدة بيانات PostgreSQL انطلاقاً من امتيازات المسؤول الحالية على مستوى تطبيق Parse Server. لا تتأثر عمليات النشر التي تستخدم MongoDB بهذه المشكلة. تنشأ الثغرة الأمنية من عدم كفاية التحقق من صحة أسماء الحقول في قيم كائن التجميع `$group. id` ومعلمات الترميز بالنقطة `distinct`، مما يسمح بحقن SQL من خلال الاستيفاء `:raw` المستخدم في محول التخزين PostgreSQL. **التوصيات** الترقية إلى إصدار Parse Server 8.6.59 أو أحدث. الترقية إلى إصدار Parse Server 9.6.0-alpha.53 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Parse Server الأقدم من 8.6.61 إصدارات Parse Server الأقدم من 9.6.0-alpha.55 **الوصف** Parse Server هو نظام خلفي مفتوح المصدر يمكن نشره على البنى التحتية التي تعمل بنظام Node.js. يتلقى المستخدم المصادق عليه الذي يستدعي نقطة نهاية واجهة برمجة التطبيقات (API) `GET /users/me` بيانات مصادقة غير معقمة، والتي تتضمن بيانات اعتماد حساسة مثل أسرار MFA TOTP ورموز الاسترداد. تستخدم نقطة النهاية المصادقة على المستوى الرئيسي لاستعلامات الجلسة، ويتسرب هذا السياق الرئيسي إلى بيانات المستخدم، مما يتجاوز عملية التعقيم التي يقوم بها محول المصادقة. يمكن للمهاجم الذي يمتلك رمز جلسة المستخدم استخراج أسرار MFA وإنشاء رموز TOTP صالحة إلى ما لا نهاية. **التوصيات** قم بالتحديث إلى إصدار Parse Server 8.6.61 أو أحدث. قم بالتحديث إلى إصدار Parse Server 9.6.0-alpha.55 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Parse Server الأقدم من 9.6.0-alpha.35 إصدارات Parse Server الأقدم من 8.6.50 **الوصف** Parse Server هو نظام خلفي مفتوح المصدر قابل للنشر على البنى التحتية لـ Node.js. عند تسجيل مشغل `Parse.Cloud.afterLiveQueryEvent` لفئة ما، يقوم خادم LiveQuery عن غير قصد بكشف الحقول المحمية و`authData` لجميع المشتركين في تلك الفئة. لا يتم تطبيق أذونات مستوى الفئة (`protectedFields`) بشكل صحيح في حمولات أحداث LiveQuery الخاصة بأحداث الإنشاء والتحديث والحذف والدخول والخروج. يمكن للمستخدمين الذين يمتلكون الأذونات المناسبة الوصول إلى البيانات الحساسة للمستخدمين الآخرين، بما في ذلك المعلومات الشخصية ورموز OAuth. تنشأ هذه المشكلة عن خطأ في فصل المراجع حيث يتم إنشاء نسخة JSON من كائن الحدث دون تطبيق مرشح البيانات الحساسة. يضمن الإصلاح أن يعمل المرشح على البيانات المرسلة إلى العملاء. **التوصيات** بالنسبة للإصدارات الأقدم من 9.6.0-alpha.35، قم بإزالة جميع تسجيلات المشغلات `Parse.Cloud.afterLiveQueryEvent`. بالنسبة للإصدارات الأقدم من 8.6.50، قم بإزالة جميع تسجيلات المشغلات `Parse.Cloud.afterLiveQueryEvent`.