PT-2026-48955
CVE-2026-50008
·
تاريخ النشر
2026-06-12
·
تاريخ التحديث
2026-06-19
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Parse Server من 9.8.0 حتى 9.9.1-alpha.3
الوصف
يهدف خيار الخادم
routeAllowList إلى تقييد وصول العملاء الخارجيين إلى قائمة محددة من مسارات واجهة برمجة التطبيقات REST. ومع ذلك، لا يتم تطبيق هذا الفحص إلا كبرنامج وسيط Express على عنوان URL الخارجي لطلب HTTP. ونتيجة لذلك، يقوم معالج «/batch» بتوجيه الطلبات الفرعية إلى جهاز التوجيه الداخلي دون إعادة تقييم قائمة السماح. وهذا يسمح للمتصل الخارجي بتجاوز جدار الحماية الخاص بالمسار الذي تم تكوينه من قبل المشغل عن طريق إصدار طلبات فرعية مجمعة إلى أي مسار لواجهة برمجة تطبيقات REST تم استبعاده من قائمة السماح. وتظل ضوابط التفويض الأخرى، مثل المصادقة وقائمة التحكم في الوصول (ACL) وقائمة التحكم في العمليات (CLP)، نشطة.التوصيات
التحديث إلى الإصدار 9.9.1-alpha.3.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾