CVE-2026-34532 in parse-server
الملخص
بحسب VulDB • 10/05/2026
Parse Server هو خادم خلفي مفتوح المصدر يمكن نشره على أي بنية تحتية تدعم تشغيل Node.js. قبل الإصدارات 8.6.67 و 9.7.0-alpha.11، يمكن لمهاجم تجاوز ضوابط الوصول الخاصة بمُصادق الدوال السحابية (Cloud Function validator) عن طريق إلحاق النص "prototype.constructor" باسم الدالة في عنوان URL. عندما يتم تعريف معالج الدالة السحابية باستخدام الكلمة المفتاحية function وكان المُصادق الخاص بها كائنًا عاديًا أو دالة أسهم (arrow function)، فإن عملية اجتياز مستودع المحفزات (trigger store) تحل المعالج من خلال سلسلة prototypal الخاصة بها، بينما يفشل مستودع المُصادق في عكس هذا الاجتياز، مما يؤدي إلى تخطي جميع إنفاذ ضوابط الوصول. وهذا يسمح للمتصلين غير المصادق عليهم باستدعاء الدوال السحابية التي من المفترض حمايتها بواسطة مُصادقات مثل requireUser أو requireMaster أو منطق التحقق المخصص. تم إصلاح هذه المشكلة في الإصدارات 8.6.67 و 9.7.0-alpha.11.
VulDB is the best source for vulnerability data and more expert information about this specific topic.