PT-2026-27486 · Unknown · Parse Server

Mtrezza

·

CVE-2026-33627

·

تاريخ النشر

2026-03-24

·

تاريخ التحديث

2026-03-27

CVSS v4.0

7.1

عالية

المتجهAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Parse Server الأقدم من 8.6.61
إصدارات Parse Server الأقدم من 9.6.0-alpha.55
الوصف
Parse Server هو نظام خلفي مفتوح المصدر يمكن نشره على البنى التحتية التي تعمل بنظام Node.js. يتلقى المستخدم المصادق عليه الذي يستدعي نقطة نهاية واجهة برمجة التطبيقات (API) GET /users/me بيانات مصادقة غير معقمة، والتي تتضمن بيانات اعتماد حساسة مثل أسرار MFA TOTP ورموز الاسترداد. تستخدم نقطة النهاية المصادقة على المستوى الرئيسي لاستعلامات الجلسة، ويتسرب هذا السياق الرئيسي إلى بيانات المستخدم، مما يتجاوز عملية التعقيم التي يقوم بها محول المصادقة. يمكن للمهاجم الذي يمتلك رمز جلسة المستخدم استخراج أسرار MFA وإنشاء رموز TOTP صالحة إلى ما لا نهاية.
التوصيات
قم بالتحديث إلى إصدار Parse Server 8.6.61 أو أحدث.
قم بالتحديث إلى إصدار Parse Server 9.6.0-alpha.55 أو أحدث.

استغلال

إصلاح

Information Disclosure

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com

تصنيف نقاط الضعف

CWE-200

المعرّفات ذات الصلة

BIT-PARSE-2026-33627
CVE-2026-33627
GHSA-37MJ-C2WF-CX96

المنتجات المتأثرة

Parse Server