CVE-2026-33627 in parse-server
Сводка
по VulDB • 20.05.2026
Parse Server — это серверная часть с открытым исходным кодом, которую можно развернуть в любой инфраструктуре, поддерживающей Node.js. До версий 8.6.61 и 9.6.0-alpha.55 аутентифицированный пользователь, вызывающий GET /users/me, получает неочищенные данные аутентификации, включая конфиденциальные учетные данные, такие как секреты MFA TOTP и коды восстановления. Внутренне конечная точка использует аутентификацию на уровне master для запроса сессии, и контекст master просачивается в данные пользователя, обходя очистку адаптера аутентификации. Атакующий, получивший токен сессии пользователя, может извлечь секреты MFA для генерации действительных кодов TOTP неограниченное время. Эта проблема исправлена в версиях 8.6.61 и 9.6.0-alpha.55.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.