- Yama var
- Son 7 gün
- CWE-1333
CVE-2026-123487
Parse Server e-posta doğrulama regex'inde ReDoS açığı (hizmet reddi)
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kullanıcı kayıt ve e-posta güncelleme işlemlerini kullanan uygulamaları çevrimdışı bırakabilecek bir hizmet kesintisine yol açabilir. Saldırı basit olduğu için kimliği doğrulanmamış kişiler de bunu yapabilir. Sistemin hızla güncellenmesi, iş sürekliliği açısından önceliklendirilmelidir.
ÖzetTürkçe
Parse Server'ın 8.6.115 öncesi sürümleri ve 9.0.0 ile 9.10.7-alpha.1 öncesi sürümleri, kullanıcı e-posta adresinin biçimini bir düzenli ifadeyle doğrular. Bu ifadenin çalışma süresi girdi uzunluğuyla karesel olarak artar ve uzunluk sınırı olmadan uygulanır. Uygulama kimliğini bilen kimliği doğrulanmamış bir saldırgan veya oturum açmış bir kullanıcı, uzun ve özel hazırlanmış bir e-posta adresi göndererek Node.js olay döngüsünü bloke edebilir.
Saldırgan ne yapabilir?
Saldırgan, sunucunun Node.js olay döngüsünü tıkayarak tüm istemciler için hizmet reddi (DoS) oluşturabilir. Veri gizliliği veya bütünlüğü etkilenmez; asıl risk erişilebilirlik kaybıdır.
Kaynaktaki açıklama (İngilizce)
Parse Server before 8.6.115 and 9.0.0 before 9.10.7-alpha.1 validates user email address format with a regular expression whose run time grows quadratically with input length and that is applied without a length limit. An unauthenticated attacker who knows the application ID can send a sign-up request, or a logged-in user can update their own email, with a long crafted email address to block the Node.js event loop and deny service to all clients.
Ne yapmalı?
- Parse Server'ı 9.10.7-alpha.1 veya 8.6.115 sürümüne yükseltin; hangi dal kullanılıyorsa ona uygun olanı seçin. Üretici
- Yükseltme yapamıyorsanız, e-posta adreslerinin uzunluğunu uygulama katmanında makul bir üst sınırla kısıtlayın ve bu sınırı aşan istekleri reddedin. Genel öneri
- Yükseltme sonrası kayıt ve e-posta güncelleme uç noktalarının normal çalıştığını doğrulayın. Genel öneri
Ek önlemler
- Kayıt ve e-posta güncelleme uç noktaları için istek hızı sınırlaması (rate limiting) uygulayın. Genel öneri
- Sunucu yanıt sürelerini ve Node.js olay döngüsü gecikmesini izleyerek olağandışı yükselmeleri takip edin. Genel öneri
- Uygulama kimliğinin (application ID) gereksiz yere açık paylaşılmamasını sağlayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| parse-community parse-server | ≥ 9.0.0, < 9.10.7-alpha.1 | 9.10.7-alpha.1 |
| 9.10.7-alpha.1 Etkilenmiyor | – | |
| < 8.6.115 | 8.6.115 | |
| 8.6.115 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.