PT-2026-48960
CVE-2026-53724
·
تاريخ النشر
2026-06-12
·
تاريخ التحديث
2026-06-19
الوصف من
CVSS 4.0
2.1
منخفضةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:P/VC:N/VI:L/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Parse Server الأقدم من 8.6.79
إصدارات Parse Server الأقدم من 9.9.1
الوصف
يمكن تجاوز قائمة حظر امتدادات الملفات الافتراضية عن طريق إضافة نقطة في نهاية اسم ملف بامتداد يُحظر عادةً. يؤدي ذلك إلى قيام محلل الامتدادات باستخراج سلسلة فارغة، مما يتجاوز فحص قائمة الحظر ويسمح بإعادة توجيه نوع المحتوى (Content-Type) الذي يتحكم فيه المهاجم إلى محول التخزين. قد تقوم محولات التخزين التي تحتفظ بنوع المحتوى (Content-Type) المقدم وتقدمه، مثل S3 أو GCS، بتقديم الملف بنوع نشط مثل image/svg+xml، مما يؤدي إلى حدوث «التنفيذ البرمجي عبر المواقع» (XSS) المخزّن، وهي ثغرة أمنية يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف وتنفيذها في متصفح الضحية عند فتح عنوان URL للملف.
التوصيات
التحديث إلى الإصدار 8.6.79 أو أحدث.
التحديث إلى الإصدار 9.9.1 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾