جزئیات آسیب‌پذیری
CVE-2026-34215
parse-community parse-server
Parse Server: Auth data exposed via verify password endpoint
CVSS 4.0
8.2بالا
شرح رسمی (انگلیسی)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.63 and 9.7.0-alpha.7, the verify password endpoint returns unsanitized authentication data, including MFA TOTP secrets, recovery codes, and OAuth access tokens. An attacker who knows a user's password can extract the MFA secret to generate valid MFA codes, defeating multi-factor authentication protection. This issue has been patched in versions 8.6.63 and 9.7.0-alpha.7.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.2بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N |
| 6.5متوسط | 3.1 | CISA ADP / Vulnrichment (CISA-ADP) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| parse-community | parse-server | < 8.6.63 | CVEProject cvelistV5 (CNA) |
| parse-community | parse-server | >= 9.0.0, < 9.7.0-alpha.7 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/parse-community/parse-server/security/advisories/GHSA-wp76-gg32-8258 x_refsource_CONFIRM
- https://github.com/parse-community/parse-server/pull/10323 x_refsource_MISC
- https://github.com/parse-community/parse-server/pull/10324 x_refsource_MISC
- https://github.com/parse-community/parse-server/commit/770be8647424d92f5425c41fa81065ffbbb171ed x_refsource_MISC
- https://github.com/parse-community/parse-server/commit/a1d4e7b12a12f16d3870dbee582a36765858e94c x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۱/۱۱
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۱/۱۴
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۳۱٪
احتمال بهره‌برداری در ۳۰ روز
۲۴٫۵٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-200Exposure of Sensitive Information to an Unauthorized Actor