CVE-2025-64502 in parse-server
Zusammenfassung
von VulDB • 30.05.2026
Parse Server ist ein Open-Source-Backend, das in jeder Infrastruktur eingesetzt werden kann, die Node.js ausführen kann. Die MongoDB-Methode `explain()` liefert detaillierte Informationen über Abfrageausführungspläne, einschließlich Indexnutzung, Sammlungs-Scan-Verhalten und Leistungsmetriken. Vor Version 8.5.0-alpha.5 erlaubt Parse Server jedem Client, Explain-Abfragen auszuführen, ohne dass der Master-Key erforderlich ist. Dies offenbart die Struktur der Datenbank-Schema und Feldnamen, Indexkonfigurationen und Details zur Abfrageoptimierung, Abfrageausführungsstatistiken und Leistungsmetriken sowie potenzielle Angriffsvektoren zur Ausnutzung der Datenbankleistung. In Version 8.5.0-alpha.5 wurde eine neue Konfigurationsoption `databaseOptions.allowPublicExplain` eingeführt, die es ermöglicht, Explain-Abfragen auf den Master-Key zu beschränken. Die Option ist vorerst standardmäßig auf `true` gesetzt, um eine Breaking-Change in Produktionssystemen zu vermeiden, die von der öffentlichen Verfügbarkeit von `explain` abhängen. Zusätzlich wird eine Sicherheitswarnung protokolliert, wenn die Option nicht explizit festgelegt oder auf `true` gesetzt ist. In einer zukünftigen Hauptversion von Parse Server wird der Standardwert auf `false` geändert. Als Workaround können Sie Middleware implementieren, um Explain-Abfragen von Nicht-Master-Key-Anfragen zu blockieren, oder die Nutzung von Explain-Abfragen in Produktionsumgebungen überwachen und Alarm schlagen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.