Parse Server के एंडपॉइंट `/sessions/me` `_Session` `protectedFields` को बायपास करता है

Parse Server में CVE-2026-39381 प्रमाणीकृत उपयोगकर्ताओं को GET /sessions/me एंडपॉइंट के माध्यम से अपने स्वयं के सत्र के संरक्षित फ़ील्ड तक पहुंचने की अनुमति देता है। Parse Server सर्वर ऑपरेटरों को फ़ील्ड निर्दिष्ट करने की अनुमति देता है जिन्हें 'संरक्षित' माना जाना चाहिए और API प्रतिक्रियाओं में प्रदर्शित नहीं किया जाना चाहिए। हालाँकि, यह विशिष्ट एंडपॉइंट इन प्रतिबंधों को सही ढंग से लागू नहीं करता है, जिससे एक प्रमाणीकृत उपयोगकर्ता संवेदनशील जानकारी प्राप्त कर सकता है जिसे छिपाने का इरादा था। GET /sessions और GET /sessions/:objectId एंडपॉइंट संरक्षित फ़ील्ड को सही ढंग से हटा देते हैं, यह दर्शाता है कि समस्या /sessions/me एंडपॉइंट के कार्यान्वयन के लिए विशिष्ट है। यह भेद्यता कॉन्फ़िगर किए गए संरक्षित फ़ील्ड के आधार पर व्यक्तिगत या गोपनीय जानकारी के प्रकटीकरण का कारण बन सकती है।

Parse Server deployments utilizing the protectedFields feature to safeguard sensitive session data are at risk. This includes applications relying on Parse Server for backend functionality and those with custom authentication mechanisms where session data security is critical. Shared hosting environments using Parse Server are also potentially at risk, as vulnerabilities in one application could impact others.

• nodejs / server: Monitor Parse Server logs for requests to the /sessions/me endpoint that return protected fields. Use grep to search for patterns indicating unauthorized access to sensitive data.

grep 'protectedFields' /var/log/parse-server/access.log

• nodejs / server: Implement a custom audit log to track access to the /sessions/me endpoint and specifically monitor for attempts to retrieve protected fields. • generic web: Use curl to test the /sessions/me endpoint with an authenticated user and verify that protected fields are masked as expected.

curl -H "Authorization: Bearer <your_auth_token>" http://your-parse-server/sessions/me

1. 2026-04-07Disclosure

   disclosure

1. आरक्षित2026-04-06
2. प्रकाशित2026-04-07
3. संशोधित2026-04-15
4. EPSS अद्यतन2026-04-15

CVE-2026-39381 के लिए फ़िक्स Parse Server को संस्करण 9.8.0-alpha.7 या उच्चतर में अपग्रेड करना है। यह संस्करण सत्र सत्यापन के बाद कॉलर के प्रमाणीकरण संदर्भ का उपयोग करके सत्र को पुनः प्राप्त करके भेद्यता को ठीक करता है। संवेदनशील डेटा तक अनधिकृत पहुंच को रोकने के लिए जल्द से जल्द अपग्रेड करने की दृढ़ता से अनुशंसा की जाती है। यदि तत्काल अपग्रेड संभव नहीं है, तो जोखिम का आकलन करें और वैकल्पिक शमन उपायों पर विचार करें, हालांकि अपग्रेड सबसे सुरक्षित समाधान है। /sessions/me एंडपॉइंट से संबंधित सर्वर लॉग में संदिग्ध गतिविधि की निगरानी भी संभावित शोषण प्रयासों का पता लगाने में मदद कर सकती है।