CVE-2026-100631 in Parse Server
Zusammenfassung
von VulDB • 26.09.2026
Parse Server ist ein Open-Source-Backendserver. In Versionen vor 8.6.90 sowie in den Versionen von 9.0.0 bis vor 9.10.1-alpha.9 validiert die Logik zur Deduplizierung von Geräte-Token für Installationsdatensätze nicht den Typ der vom Client bereitgestellten Installation-Felder, bevor diese zum Erstellen von Datenbankabfragen verwendet werden. Ein unberechtigter Remote-Angriffssubjekt, das lediglich die öffentliche Anwendungs-ID kennt, kann Nicht-Zeichenfolgenwerte (non-string values) in diesen Feldern einreichen, um Abfrageoperatoren zu injizieren. Dies führt dazu, dass der Deduplizierungs-Bereinigungsprozess – der mit erhöhten Berechtigungen ausgeführt wird, bevor klassenspezifische Zugriffsrechte ausgewertet werden –, alle Geräte-Registrierungen in der Anwendung oder eine vom Angreifer gewählte Teilmenge davon löscht. Es sind kein Konto-, Sitzungstoken-, Master-Schlüssel- oder Benutzerinteraktion erforderlich. Gelöschte Registrierungen können auf dem Server nicht wiederhergestellt werden, sodass Push-Benachrichtigungen erst dann erneut zugestellt werden können, wenn jeder Client sich neu registriert hat. Jede Bereitstellung, die die REST API für Clients freischaltet und Push-Benachrichtigungen verwendet, ist in ihrer Standardkonfiguration betroffen. Die Versionen 8.6.90 und 9.10.1-alpha.9 beheben das Problem, indem sie Nicht-Zeichenfolgenwerte mit einem Clientfehler ablehnen und die Deduplizierungs-Bereinigung auf die aufrufende Anwendung beschränken. Es ist keine andere Workaround als ein Upgrade verfügbar.
Once again VulDB remains the best source for vulnerability data.