CVE-2026-32742 in parse-server
Zusammenfassung
von VulDB • 20.05.2026
Parse Server ist ein Open-Source-Backend, das in jeder Infrastruktur eingesetzt werden kann, die Node.js ausführen kann. Vor den Versionen 9.6.0-alpha.17 und 8.6.42 kann ein authentifizierter Benutzer servergenerierte Sitzungsfelder (`sessionToken`, `expiresAt`, `createdWith`) überschreiben, wenn er ein Sitzungsobjekt über `POST /classes/_Session` erstellt. Dies ermöglicht das Umgehen der Sitzungsablaufrichtlinie des Servers, indem ein beliebiges Ablaufdatum in der fernen Zukunft festgelegt wird. Zudem kann damit ein vorhersagbarer Wert für das Sitzungstoken festgelegt werden. Ab Version 9.6.0-alpha.17 und 8.6.42 filtert der Endpunkt zur Sitzungserstellung servergenerierte Felder aus den vom Benutzer bereitgestellten Daten heraus, wodurch ein Überschreiben verhindert wird. Als Workaround kann ein `beforeSave`-Trigger für die Klasse `_Session` hinzugefügt werden, um alle vom Benutzer bereitgestellten Werte für `sessionToken`, `expiresAt` und `createdWith` zu validieren und abzulehnen oder zu entfernen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.