CVE-2026-116162
CVE-2026-116162 · Parse Server 9.0.0 before 9.10.5-alpha.5 Privilege Escalation via SMS MFA Login
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Parse Server before 8.6.104 and 9.0.0 before 9.10.5-alpha.5 saves the entire login request with master privileges when issuing an SMS multi-factor authentication verification code. An SMS MFA-enrolled user can include extra fields in that request to modify master-key-restricted fields on their own account, such as the email-verification flag or beforeSave-protected values.
CVSS 2.1 · Низкий · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
parse-server
- Версии
- ≥ 9.0.0, < 9.10.5-alpha.5: Затронуто (semver)
- 9.10.5-alpha.5: Не затронуто (semver)
Обновитесь до 9.10.5-alpha.5
parse-server
- Версии
- ≥ 0, < 8.6.104: Затронуто (semver)
- 8.6.104: Не затронуто (semver)
Обновитесь до 8.6.104