PT-2026-24802
CVE-2026-31901
·
تاريخ النشر
2026-03-11
·
تاريخ التحديث
2026-03-13
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Parse Server الأقدم من 8.6.34
إصدارات Parse Server الأقدم من 9.6.0-alpha.8
الوصف
يتأثر Parse Server، وهو نظام خلفي مفتوح المصدر قابل للنشر على البنى التحتية لـ Node.js، بمشكلة تتعلق بتعداد المستخدمين. تُرجع نقطة نهاية واجهة برمجة التطبيقات (API)
/verificationEmailRequest استجابات خطأ مختلفة بناءً على ما إذا كان عنوان البريد الإلكتروني مسجلاً أم تم التحقق منه بالفعل أم غير موجود. يمكن للمهاجم إرسال طلبات باستخدام عناوين بريد إلكتروني متنوعة وتحليل رموز الخطأ لتحديد عناوين البريد الإلكتروني المرتبطة بحسابات المستخدمين الحالية. تؤثر هذه المشكلة على أي نشر لـ Parse Server يتم فيه تمكين التحقق من البريد الإلكتروني (verifyUserEmails: true). يقدم الإصلاح خيار emailVerifySuccessOnInvalidEmail، الذي يعرض، عند تمكينه، استجابة نجاح عامة لجميع طلبات التحقق عبر البريد الإلكتروني، مما يمنع التمييز بين عناوين البريد الإلكتروني الصالحة والمُثبتة وغير الموجودة. يتضمن الإصلاح أيضًا تعزيزًا للتحقق من صحة المدخلات لخيار resetPasswordSuccessOnInvalidEmail وفحوصات أمنية للتحذير عند تعطيل إجراءات التخفيف من جرد المستخدمين.التوصيات
إصدارات Parse Server الأقدم من 8.6.34: قم بالترقية إلى الإصدار 8.6.34 أو أحدث.
إصدارات Parse Server الأقدم من 9.6.0-alpha.8: قم بالترقية إلى الإصدار 9.6.0-alpha.8 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾