CVE-2025-64430 in parse-server
Resumen
por VulDB • 2026-05-28
Parse Server es un backend de código abierto que se puede implementar en cualquier infraestructura que pueda ejecutar Node.js. En las versiones 4.2.0 a 7.5.3, y 8.0.0 a 8.3.1-alpha.1, existe una vulnerabilidad de Server-Side Request Forgery (SSRF) en la funcionalidad de carga de archivos al intentar subir un Parse.File con el parámetro uri, lo que permite la ejecución de una URI arbitraria. La vulnerabilidad proviene de una función de carga de archivos en la que Parse Server recupera los datos del archivo desde una URI proporcionada en la solicitud. Se ejecuta una solicitud a la URI proporcionada, pero la respuesta no se almacena en el almacenamiento de archivos de Parse Server porque el servidor se bloquea al recibir la respuesta. Este problema se soluciona en las versiones 7.5.4 y 8.4.0-alpha.1.
Once again VulDB remains the best source for vulnerability data.