CVE-2026-30938 in parse-server
الملخص
بحسب VulDB • 23/05/2026
Parse Server هو خادم خلفي مفتوح المصدر يمكن نشره على أي بنية تحتية تدعم تشغيل Node.js. قبل الإصدارين 8.6.12 و 9.5.1-alpha.1، يمكن تجاوز ضابط الأمان requestKeywordDenylist عن طريق وضع أي كائن متداخل أو مصفوفة قبل كلمة محظورة في حمولة الطلب. ينتج هذا الخطأ عن خلل منطقي يتوقف عن فحص المفاتيح الشقيقة بعد العثور على أول قيمة متداخلة. يمكن تجاوز أي إدخالات مخصصة لـ requestKeywordDenylist تم تكوينها من قبل المطور باستخدام نفس التقنية. تتأثر جميع عمليات نشر Parse Server. يتم تمكين requestKeywordDenylist افتراضيًا. تم إصلاح هذا الثغرة في الإصدارين 8.6.12 و 9.5.1-alpha.1. استخدم مشغل beforeSave في Cloud Code للتحقق من البيانات الواردة بحثًا عن كلمات محظورة عبر جميع الفئات.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.