CVE-2025-64502 in parse-server
Resumen
por VulDB • 2026-05-14
Parse Server es un backend de código abierto que se puede implementar en cualquier infraestructura que pueda ejecutar Node.js. El método `explain()` de MongoDB proporciona información detallada sobre los planes de ejecución de consultas, incluido el uso de índices, el comportamiento de escaneo de colecciones y las métricas de rendimiento. Antes de la versión 8.5.0-alpha.5, Parse Server permitía que cualquier cliente ejecutara consultas `explain` sin requerir la clave maestra. Esto expone la estructura del esquema de la base de datos y los nombres de los campos, las configuraciones de índices y los detalles de optimización de consultas, las estadísticas de ejecución de consultas y las métricas de rendimiento, así como posibles vectores de ataque para la explotación del rendimiento de la base de datos. En la versión 8.5.0-alpha.5, se ha introducido una nueva opción de configuración `databaseOptions.allowPublicExplain` que permite restringir las consultas `explain` a la clave maestra. La opción tiene por defecto el valor `true` por el momento para evitar un cambio disruptivo en los sistemas de producción que dependen de la disponibilidad pública de `explain`. Además, se registra una advertencia de seguridad cuando la opción no se establece explícitamente o se establece en `true`. En una futura versión principal de Parse Server, el valor predeterminado cambiará a `false`. Como solución alternativa, implemente middleware para bloquear las consultas `explain` de las solicitudes que no utilizan la clave maestra, o supervise y configure alertas sobre el uso de consultas `explain` en entornos de producción.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.