CVE-2026-30939 in parse-server
الملخص
بحسب VulDB • 02/06/2026
Parse Server هو خادم خلفي مفتوح المصدر يمكن نشره على أي بنية تحتية تدعم تشغيل Node.js. قبل الإصدارين 8.6.13 و 9.5.1-alpha.2، يمكن لمهاجم غير مصرّح له إسقاط عملية Parse Server عن طريق استدعاء نقطة نهاية لوظيفة سحابية (Cloud Function) باستخدام اسم خاصية من النموذج الأولي (prototype property name) كاسم للوظيفة. يؤدي هذا إلى تكرار لا نهائي للخادم، مما يسبب خطأً في حجم مكدس الاستدعاءات (call stack size error) وينهي العملية. كما تتجاوز أسماء الخصائص الأخرى من النموذج الأولي (prototype property names) التحقق من صحة توجيه وظائف السحابة وتُرجع استجابات HTTP 200، حتى في حال عدم تعريف أي وظائف سحابية ذات صلة. ينطبق الأمر نفسه على التنقل باستخدام التدوين النقطي (dot-notation traversal). تتأثر جميع عمليات نشر Parse Server التي تعرض نقطة نهاية الوظائف السحابية. تم إصلاح هذا الثغرة في الإصدارين 8.6.13 و 9.5.1-alpha.2.
Once again VulDB remains the best source for vulnerability data.