- Yama var
- Son 7 gün
- CWE-862
CVE-2026-116165
Parse Server'da MongoDB ile kimlik doğrulamasız sınıf şeması silme açığı
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Parse Server, 8.6.101 sürümünden önceki sürümlerde ve 9.0.0 ile 9.10.4-alpha.4 arasındaki sürümlerde yetkilendirme eksikliği içermektedir; bu durum MongoDB dağıtımlarında, master anahtarı olmayan istemcilerin herhangi bir sınıfın kayıtlı şemasını silmesine olanak tanımaktadır. Kimlik doğrulaması yapılmamış saldırganlar, alan tanımlarını, sınıf düzeyindeki izinleri ve korumalı alanları kaldırmak için dahili _SCHEMA koleksiyonunu hedefleyen REST API silme istekleri gönderebilmekte, bu da verilerin yetkisiz okunmasına ve değiştirilmesine yol açabilmektedir.
Kaynaktaki açıklama (İngilizce)
Parse Server before 8.6.101 and 9.0.0 before 9.10.4-alpha.4 contains a missing authorization vulnerability on MongoDB deployments that lets clients without the master key delete the stored schema of any class. Unauthenticated attackers can send REST API delete requests targeting the internal _SCHEMA collection to remove field definitions, class-level permissions, and protected fields, exposing data to unauthorized reads and modifications.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| parse-community parse-server | ≥ 9.0.0, < 9.10.4-alpha.4 | 9.10.4-alpha.4 |
| 9.10.4-alpha.4 Etkilenmiyor | – | |
| < 8.6.101 | 8.6.101 | |
| 8.6.101 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.