حجب الخدمة في Parse Server قبل الإصدارين 8.6.110 و9.0.0 قبل الإصدار 9.10.6-alpha.2 عبر تحديث المؤشر afterSave

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يفشل Parse Server قبل الإصدارين 8.6.110 و9.0.0 وقبل الإصدار 9.10.6-alpha.2 في احتواء خطأ في التسلسل عندما يستخدم تحديث الكائن مفتاح تدوين نقطي يستهدف معرف كائن حقل مؤشر على فئة ذات مشغل afterSave. يمكن للمهاجمين، بما في ذلك العملاء غير المصدق لهم عندما تكون الكائنات قابلة للكتابة دون جلسة، إرسال مثل هذا التحديث لإحداث تعطل في عملية Node.

المعالجة

1. أحصِ جميع نشرات parse-community parse-server، بما فيها بيئات الاختبار.
2. رقِّ parse-community parse-server إلى الإصدار المصحَّح الخاص بفرعك، كما يظهر في جدول الإصدارات المتأثرة.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/parse-community/parse-server/pull/10802
• تصحيحhttps://github.com/parse-community/parse-server/pull/10803
• تحذيرhttps://github.com/parse-community/parse-server/security/advisories/GHSA-wc3c-6843-q7mv
• تحذيرhttps://www.vulncheck.com/advisories/parse-server-before-8.6.110-and-9.0.0-before-9.10.6-alpha.2-denial-of-service-via-aftersave-pointer-update