CVE-2026-34574
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Parse Server przed wersjami 8.6.69 i 9.7.0-alpha.14 pozwala uwierzytelnionemu użytkownikowi na ominięcie ochrony niezmienności pól sesji (expiresAt, createdWith) poprzez wysłanie wartości null w żądaniu PUT do punktu końcowego aktualizacji sesji. Umożliwia to unieważnienie wygaśnięcia sesji, czyniąc ją ważną bezterminowo i omijając skonfigurowane zasady długości sesji.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieograniczonego czasowo dostępu do sesji użytkowników, co może prowadzić do nieautoryzowanego dostępu do danych i naruszenia polityk bezpieczeństwa sesji.
Rekomendacja
Należy natychmiast zaktualizować Parse Server do wersji 8.6.69 lub 9.7.0-alpha.14, które zawierają poprawkę.
Oryginalny opis (angielski, źródło NVD)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.69 and 9.7.0-alpha.14, an authenticated user can bypass the immutability guard on session fields (expiresAt, createdWith) by sending a null value in a PUT request to the session update endpoint. This allows nullifying the session expiry, making the session valid indefinitely and bypassing configured session length policies. This issue has been patched in versions 8.6.69 and 9.7.0-alpha.14.