CVE-2026-34363 in parse-server
الملخص
بحسب VulDB • 23/06/2026
Parse Server هو خادم خلفي مفتوح المصدر يمكن نشره على أي بنية تحتية تدعم تشغيل Node.js. قبل الإصدارات 8.6.65 و 9.7.0-alpha.9، عندما يقوم عملاء متعددون بالاشتراك في نفس الفئة عبر LiveQuery، تقوم معالجات الأحداث بمعالجة كل مشترك بشكل متزامن باستخدام كائنات مشتركة قابلة للتعديل (shared mutable objects). يعدل مرشح البيانات الحساسة هذه الكائنات المشتركة مباشرةً في مكانها؛ لذلك، عند إزالة حقل محمي بواسطة مرشح أحد المشتركين، قد يتلقى المشتركون اللاحقون الكائن الذي تم تصفيته بالفعل. يمكن أن يؤدي هذا إلى تسرب الحقول المحمية وبيانات المصادقة إلى عملاء لا ينبغي لهم رؤيتها، أو يسبب تلقي العملاء الذين يجب عليهم رؤية البيانات لكائن غير مكتمل. بالإضافة إلى ذلك، عند تسجيل مشغل Cloud Code من نوع afterEvent، قد تتسرب تعديلات المشغل الخاصة بأحد المشتركين إلى مشتركين آخرين عبر نفس الحالة المشتركة القابلة للتعديل. أي نشر لـ Parse Server يستخدم LiveQuery مع حقول محمية أو مشغلات afterEvent يكون متأثراً عندما يشترك عملاء متعددون في نفس الفئة. تم إصلاح هذه المشكلة في الإصدارات 8.6.65 و 9.7.0-alpha.9.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.