- Yama var
- Son 7 gün
- CWE-20
CVE-2026-116164
Parse Server'da object yazma işlemlerinde ayrılmış alan adlarının enjekte edilmesi zafiyeti
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Parse Server, 8.6.100 öncesi ve 9.0.0 ile 9.10.4-alpha.3 öncesi sürümlerde, istemci tarafındaki object yazma işlemlerinde ayrılmış dahili alan adlarını reddetmez. Bu durum istemcilerin dahili alanları kaydetmesine veya temizlemesine olanak tanır. Saldırganlar, MongoDB üzerinde bir nesnenin okunmasını başarısız kılan ayrılmış bir alan yazabilir; bu da o sınıftaki sorguları tüm kullanıcılar için aksatır. Ayrıca kendi hesaplarının kilitlenme durumunu ve parola geçmişini temizleyerek hesap kilitleme ve parola politikalarını atlatabilir.
Kaynaktaki açıklama (İngilizce)
Parse Server before 8.6.100 and 9.0.0 before 9.10.4-alpha.3 does not reject reserved internal field names in client object writes, allowing clients to store or clear internal fields. Attackers can write a reserved field that makes reads of an object fail on MongoDB, disrupting queries on that class for all users, or clear their own account lockout state and password history to bypass lockout and password policies.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| parse-community parse-server | ≥ 9.0.0, < 9.10.4-alpha.3 | 9.10.4-alpha.3 |
| 9.10.4-alpha.3 Etkilenmiyor | – | |
| < 8.6.100 | 8.6.100 | |
| 8.6.100 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.