PT-2026-29165 · Unknown · Parse Server
CVSS v4.0
8.2
عالية
| المتجه | AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Parse Server الأقدم من 8.6.65
إصدارات Parse Server الأقدم من 9.7.0-alpha.9
الوصف
يتأثر Parse Server، وهو نظام خلفي مفتوح المصدر قابل للنشر على البنى التحتية لـ Node.js، بمشكلة قد تؤدي إلى تسرب البيانات الحساسة إلى عملاء غير مصرح لهم أو تلقي عملاء مصرح لهم لبيانات غير كاملة عندما يشترك عدة عملاء في نفس الفئة عبر LiveQuery. يحدث هذا لأن معالجات الأحداث تعالج المشتركين بشكل متزامن باستخدام كائنات قابلة للتغيير مشتركة، ويقوم مرشح البيانات الحساسة بتعديل هذه الكائنات في مكانها. بالإضافة إلى ذلك، قد تتسرب التعديلات الناتجة عن مشغل afterEvent في Cloud Code الخاص بأحد المشتركين إلى مشتركين آخرين من خلال نفس الحالة القابلة للتغيير المشتركة. أي نشر يستخدم LiveQuery مع حقول محمية أو مشغلات afterEvent معرض للتأثر بهذه المشكلة.
التوصيات
يجب تحديث إصدارات Parse Server الأقدم من 8.6.65 إلى الإصدار 8.6.65 أو أحدث.
يجب تحديث إصدارات Parse Server الأقدم من 9.7.0-alpha.9 إلى الإصدار 9.7.0-alpha.9 أو أحدث.
استغلال
إصلاح
Race Condition
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Parse Server