CVE-2026-32742 in parse-server
الملخص
بحسب VulDB • 24/05/2026
Parse Server هو خادم خلفي مفتوح المصدر يمكن نشره على أي بنية تحتية تدعم تشغيل Node.js. قبل الإصدارين 9.6.0-alpha.17 و 8.6.42، يمكن لمستخدم مُصادَق عليه تجاوز حقول الجلسة التي يولّدها الخادم (`sessionToken`، `expiresAt`، `createdWith`) عند إنشاء كائن جلسة عبر `POST /classes/_Session`. يتيح ذلك تجاوز سياسة انتهاء صلاحية الجلسة على الخادم عن طريق تعيين تاريخ انتهاء بعيد في المستقبل بشكل تعسفي. كما يسمح بتعيين قيمة متوقعة لرمز الجلسة. بدءاً من الإصدارين 9.6.0-alpha.17 و 8.6.42، يقوم نقطة نهاية إنشاء الجلسة بتصفية الحقول التي يولّدها الخادم من البيانات المقدمة من المستخدم، مما يمنع إمكانية تجاوزها. كحل بديل، أضف مُفعّل `beforeSave` على فئة `_Session` للتحقق من صحة القيم المقدمة من المستخدم ورفضها أو إزالتها لأي من `sessionToken`، `expiresAt`، و `createdWith`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.