PT-2026-117619 · Unknown · Parse Server
CVSS v4.0
6.9
متوسطة
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المصاب والإصدارات المتأثرة
Parse Server الإصدارات السابقة لـ 8.6.99
Parse Server الإصدارات من 9.0.0 إلى 9.10.3-alpha.1
Description
توجد مشكلة حيث يقوم الخادم بتقييم الفحوصات ضد حساب مستهدف أثناء تحديث المستخدم قبل تفويض المتصل، ويعكس نتائج هذه الفحوصات في الاستجابة. يتيح ذلك لمتصل غير مصرح له، سواء كان لديه جلسة عمل أم لا، تأكيد أسماء المستخدمين أو رسائل البريد الإلكتروني التي تم تخمينها. بالإضافة إلى ذلك، عند ضبط
passwordPolicy.maxPasswordHistory أو doNotAllowUsername ، يمكن للمتصل تأكيد كلمات المرور الحالية أو السابقة التي تم تخمينها، مما يؤدي إلى تجاوز آليات قفل الحساب.Recommendations
تحديث Parse Server إلى الإصدار 8.6.99 أو أحدث.
تحديث Parse Server إلى الإصدار 9.10.3-alpha.2 أو أحدث.
استغلال
إصلاح
Incorrect Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Parse Server