PT-2026-24825
CVE-2026-32234
·
تاريخ النشر
2026-03-11
·
تاريخ التحديث
2026-03-13
الوصف من
CVSS 4.0
5.1
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:L/VA:L/SC:L/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Parse Server الأقدم من 9.6.0-alpha.10
إصدارات Parse Server الأقدم من 8.6.36
الوصف
Parse Server هو نظام خلفي مفتوح المصدر يمكن نشره على البنى التحتية التي تعمل بنظام Node.js. يمكن للمهاجم الذي يمتلك حق الوصول إلى المفتاح الرئيسي حقن كود SQL ضار من خلال أسماء الحقول المصممة خصيصًا والمستخدمة في قيود الاستعلامات عندما يتم تكوين Parse Server مع PostgreSQL. يتم تمرير اسم الحقل داخل عامل الاستعلام
$regex إلى PostgreSQL باستخدام استيفاء السلسلة غير المعلمة، مما يتيح التلاعب باستعلام SQL. يتجاوز حقن SQL هذا طبقة التجريد في Parse Server ويعمل مباشرةً على مستوى قاعدة البيانات. تؤثر هذه المشكلة على عمليات النشر التي تستخدم PostgreSQL. لم يتم ذكر نقطة نهاية واجهة برمجة التطبيقات (API) صراحةً. المعلمة المعرضة للخطر هي اسم الحقل المستخدم في عامل الاستعلام $regex.التوصيات
تحديث Parse Server إلى الإصدار 9.6.0-alpha.10 أو أحدث.
تحديث Parse Server إلى الإصدار 8.6.36 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾