PT-2026-64286 · Unknown · Parse Server
CVSS v4.0
6.3
متوسطة
| المتجه | AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Parse Server من 9.0.0 إلى 9.10.0-alpha.4
إصدارات Parse Server من 8.2.2 إلى 8.6.85
الوصف
تكشف رسائل أخطاء التحقق من صحة GraphQL عن أسماء حقول الإدخال المخصصة المطلوبة حتى عند تعطيل الاستبطان العام عبر المتغير
graphQLPublicIntrospection. يمكن للمهاجم الذي يمتلك معرّف التطبيق العام فقط أن يثير هذه الأخطاء لاكتشاف الحقول المخصصة المطلوبة غير الفارغة في الفئات التي يشير إليها بالفعل بالاسم. ويقوض هذا السلوك جزئيًا الغرض من إخفاء المخطط. ولا يتم الكشف عن أي بيانات مخزنة أو بيانات اعتماد أو أسماء حقول اختيارية أو أسماء فئات غير مشار إليها أو أسماء وظائف Cloud Code.التوصيات
قم بتحديث Parse Server إلى الإصدار 9.10.0-alpha.5 أو أحدث.
قم بتحديث Parse Server إلى الإصدار 8.6.86 أو أحدث.
استغلال
إصلاح
Generation of Error Message Containing Sensitive Information
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Parse Server