- Yama var
- Son 7 gün
- CWE-200
CVE-2026-116161
Parse Server LiveQuery'de $or aboneliklerinde bilgi sızıntısı
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Parse Server, 8.6.103 öncesi sürümlerde ve 9.0.0 ile 9.10.5-alpha.4 öncesi sürümlerde LiveQuery bileşeninde bilgi sızıntısına yol açan bir güvenlik açığı içermektedir. Abonelik karma değeri, $or operatörünün yanındaki kısıtlamaları, _Session sahiplik filtresi ve beforeSubscribe kısıtlamaları dahil olmak üzere, hesaba almamakta; bu nedenle farklı abonelikler birlikte gruplanmaktadır. $or sorguları ile abone olan kimlik doğrulaması yapılmış istemciler, diğer kullanıcıların olaylarını alabilmekte; bunlar arasında kişiliğe bürünme için kullanılabilen oturum belirteçleri de yer almaktadır.
Kaynaktaki açıklama (İngilizce)
Parse Server before 8.6.103 and 9.0.0 before 9.10.5-alpha.4 contains an information disclosure vulnerability in LiveQuery. Its subscription hash omits constraints next to a $or operator, including the _Session owner filter and beforeSubscribe constraints, so distinct subscriptions are grouped together. Authenticated clients subscribing with $or queries can receive other users' events, including session tokens usable for impersonation.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| parse-community parse-server | ≥ 9.0.0, < 9.10.5-alpha.4 | 9.10.5-alpha.4 |
| 9.10.5-alpha.4 Etkilenmiyor | – | |
| < 8.6.103 | 8.6.103 | |
| 8.6.103 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.