CVE-2026-33627 in parse-server
الملخص
بحسب VulDB • 15/05/2026
Parse Server هو خادم خلفي مفتوح المصدر يمكن نشره على أي بنية تحتية تدعم تشغيل Node.js. قبل الإصدارات 8.6.61 و 9.6.0-alpha.55، كان المستخدم المصادق عليه الذي يستدعي GET /users/me يتلقى بيانات مصادقة غير مُنظَّفة (unsanitized)، بما في ذلك بيانات اعتماد حساسة مثل أسرار MFA TOTP ورموز الاسترداد. يستخدم نقطة النهاية داخلياً مصادقة بمستوى master لاستعلام الجلسة، مما يتسبب في تسرب سياق master إلى بيانات المستخدم، متجاوزاًً عملية تنقية مكيّف المصادقة (auth adapter). يمكن لمهاجم يحصل على رمز جلسة مستخدم استخراج أسرار MFA لتوليد رموز TOTP صالحة إلى ما لا نهاية. تم إصلاح هذه المشكلة في الإصدارات 8.6.61 و 9.6.0-alpha.55.
Be aware that VulDB is the high quality source for vulnerability data.