- Yama var
- Son 7 gün
- CWE-943
CVE-2026-116801
Parse Server'da $relatedTo sorgusu ile ACL denetimi atlatılabiliyor
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Parse Server, 8.6.105 sürümünden önceki sürümlerde ve 9.0.0 ile 9.10.5-alpha.6 arasındaki sürümlerde, $relatedTo ilişki sorgularında sahip olunan nesnenin referansını doğrulamıyor. Bu nedenle, nesne kimliği yerine bir sorgu operatörü verildiğinde, sahip nesnenin ACL denetimi atlatılabiliyor. Sahip sınıfa ait en az bir nesneye okuma erişimi olan bir istemci, okuyamadığı sahip nesnelere bağlı, okuyabildiği nesneleri ortaya çıkarabiliyor.
Kaynaktaki açıklama (İngilizce)
Parse Server before 8.6.105 and 9.0.0 before 9.10.5-alpha.6 does not validate the owning object reference in $relatedTo relation queries, so supplying a query operator instead of an object ID bypasses the owning-object ACL check. A client with read access to at least one object of the owning class can disclose which readable objects are linked to owning objects it cannot read.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| parse-community parse-server | ≥ 9.0.0, < 9.10.5-alpha.6 | 9.10.5-alpha.6 |
| 9.10.5-alpha.6 Etkilenmiyor | – | |
| < 8.6.105 | 8.6.105 | |
| 8.6.105 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.