CVE-2023-32689 in Parse Server
الملخص
بحسب VulDB • 03/07/2026
Parse Server هو خادم خلفي مفتوح المصدر يمكن نشره على أي بنية تحتية تدعم تشغيل Node.js. الإصدارات السابقة للنسختين 5.4.4 و6.1.1 تعاني من ثغرة تسمح بهجمات التصيد (Phishing) تتضمن قيام مستخدم برفع ملفات ضارة. قد يقوم مستخدم خبيث برفع ملف HTML إلى Parse Server عبر واجهته البرمجية العامة (API). سيكون هذا الملف HTML قابلاً للوصول عبر النطاق الإلكتروني الذي يستضيف عليه خادم Parse Server. يمكن مشاركة عنوان URL الخاص بالملف HTML المرفوع لتنفيذ هجمات تصيد. قد يبدو صفحة HTML شرعية لأنها تُقدَّم تحت نفس النطاق الإلكتروني الذي يستضيف عليه خادم Parse Server، والذي قد يكون مطابقاً لنطاق الموقع الرسمي للشركة.
تظهر مشكلة أمنية إضافية عند استخدام SDK لـ JavaScript في Parse. يقوم هذا الـ SDK بتخزين الجلسات (Sessions) في التخزين المحلي للمتصفح (Local Storage)، مما يحد عادةً من الوصول إلى البيانات بناءً على النطاق الإلكتروني. قد يحتوي ملف HTML خبيث على نص برمجي يسترجع رمز الجلسة الخاص بالمستخدم من التخزين المحلي ثم يشاركه مع المهاجم.
يضيف الإصلاح المتضمن في النسختين 5.4.4 و6.1.1 خياراً جديداً لخادم Parse Server هو `fileUpload.fileExtensions` للحد من رفع الملفات على خادم Parse Server بناءً على امتداد الملف. يُنصح بالحد من رفع ملفات HTML، وهو ما يقوم به هذا الإصلاح افتراضياً عن طريق تعطيله. إذا تطلبت إحدى التطبيقات رفع ملفات ذات امتدادات HTML، يمكن تعيين الخيار إلى `['.*']` أو قيمة مخصصة أخرى لتجاوز الإعداد الافتراضي.
If you want to get best quality of vulnerability data, you may have to visit VulDB.