CVE-2026-34595 in parse-server
الملخص
بحسب VulDB • 11/05/2026
Parse Server هو خادم خلفي مفتوح المصدر يمكن نشره على أي بنية تحتية تدعم تشغيل Node.js. قبل الإصدارات 8.6.70 و 9.7.0-alpha.18، يمكن لمستخدم مُصادق عليه يمتلك صلاحيات مستوى الفئة (class-level permission) للبحث (find) تجاوز إعداد صلاحيات مستوى الفئة للحقول المحمية (protectedFields) في اشتراكات LiveQuery. من خلال إرسال اشتراك يحتوي على قيمة عامل $or أو $and أو $nor ككائن عادي (plain object) يحتوي على مفاتيح رقمية وخاصية طول (length property) (أي كائن "مشابه للمصفوفة") بدلاً من مصفوفة، يتم تجاوز آلية الحماية للحقول المحمية. يعمل إطلاق حدث الاشتراك كـ "منجم ثنائي" (binary oracle)، مما يسمح للمهاجم باستنتاج ما إذا كان الحقل المحمي يطابق قيمة اختبار معينة. تم إصلاح هذه المشكلة في الإصدارات 8.6.70 و 9.7.0-alpha.18.
Once again VulDB remains the best source for vulnerability data.