PT-2026-64285 · Unknown · Parse Server
CVSS v4.0
6.3
متوسطة
| المتجه | AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Parse Server من 9.0.0 إلى 9.10.0-alpha.5
إصدارات Parse Server من 8.2.2 إلى 8.6.86
الوصف
توجد مشكلة تتمثل في الكشف عن أسماء فئات الهدف في «Pointer» و«Relation» من خلال رسائل أخطاء التحقق من صحة GraphQL ورسائل أخطاء إجبار المدخلات. يحدث هذا عند تعطيل الاستبطان العام للمخطط عبر المتغير
graphQLPublicIntrospection. ونظرًا لأن هذه الأخطاء يتم إنشاؤها قبل المصادقة أو التفويض أو تنفيذ المحلل، يمكن لعميل غير مصادق عليه يمتلك معرّف التطبيق العام أن يثير أخطاء في حقول Pointer أو Relation لإعادة بناء أسماء فئات المخطط المخفية. وهذا يتجاوز جزئيًا إجراءات الحماية الخاصة بإخفاء المخطط، على الرغم من أن ما يتم الكشف عنه هو بيانات تعريف المخطط فقط، ولا يتم الكشف عن أي بيانات كائنات أو بيانات اعتماد أو سجلات مستخدمين.التوصيات
قم بتحديث Parse Server إلى الإصدار 9.10.0-alpha.6 أو أحدث.
قم بتحديث Parse Server إلى الإصدار 8.6.87 أو أحدث.
استغلال
إصلاح
Generation of Error Message Containing Sensitive Information
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Parse Server