p PatchFirst

CVE-2026-33323

CVE-2026-33323 · Parse Server: Email verification resend page leaks user existence

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.51 and 9.6.0-alpha.40, the Pages route and legacy PublicAPI route for resending email verification links return distinguishable responses depending on whether the provided username exists and has an unverified email. This allows an unauthenticated attacker to enumerate valid usernames by observing different redirect targets. The existing emailVerifySuccessOnInvalidEmail configuration option, which is enabled by default and protects the API route against this, did not apply to these routes. This issue has been patched in versions 8.6.51 and 9.6.0-alpha.40.

CVSS 6.3 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • parse-server

    Версии
    • < 8.6.51: Затронуто
    • >= 9.0.0, < 9.6.0-alpha.40: Затронуто

    Нет опубликованного исправления

  • parse-server npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 9.0.0, < 9.6.0-alpha.40

    Обновитесь до 9.6.0-alpha.40

  • parse-server npm

    Затронутые диапазоны версий
    • SEMVER: < 8.6.51

    Обновитесь до 8.6.51

Первоисточники

Проверьте свой сервер →