PT-2026-26166 · Unknown · Parse Server
CVSS v4.0
8.2
عالية
| المتجه | AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Parse Server الأقدم من 9.6.0-alpha.35
إصدارات Parse Server الأقدم من 8.6.50
الوصف
Parse Server هو نظام خلفي مفتوح المصدر قابل للنشر على البنى التحتية لـ Node.js. عند تسجيل مشغل
Parse.Cloud.afterLiveQueryEvent لفئة ما، يقوم خادم LiveQuery عن غير قصد بكشف الحقول المحمية وauthData لجميع المشتركين في تلك الفئة. لا يتم تطبيق أذونات مستوى الفئة (protectedFields) بشكل صحيح في حمولات أحداث LiveQuery الخاصة بأحداث الإنشاء والتحديث والحذف والدخول والخروج. يمكن للمستخدمين الذين يمتلكون الأذونات المناسبة الوصول إلى البيانات الحساسة للمستخدمين الآخرين، بما في ذلك المعلومات الشخصية ورموز OAuth. تنشأ هذه المشكلة عن خطأ في فصل المراجع حيث يتم إنشاء نسخة JSON من كائن الحدث دون تطبيق مرشح البيانات الحساسة. يضمن الإصلاح أن يعمل المرشح على البيانات المرسلة إلى العملاء.التوصيات
بالنسبة للإصدارات الأقدم من 9.6.0-alpha.35، قم بإزالة جميع تسجيلات المشغلات
Parse.Cloud.afterLiveQueryEvent.بالنسبة للإصدارات الأقدم من 8.6.50، قم بإزالة جميع تسجيلات المشغلات
Parse.Cloud.afterLiveQueryEvent.استغلال
إصلاح
Information Disclosure
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Parse Server