CVE-2026-30941 in parse-server
Résumé
par VulDB • 19/06/2026
Parse Server est un backend open source qui peut être déployé sur n'importe quelle infrastructure capable d'exécuter Node.js. Avant les versions 8.6.14 et 9.5.2-alpha.1, une vulnérabilité de NoSQL injection permet à un attaquant non authentifié d'injecter des opérateurs de requête MongoDB via le champ token dans les points de terminaison (endpoints) de réinitialisation du mot de passe et de renvoi de la vérification par e-mail. La valeur du token est transmise aux requêtes de base de données sans validation de type, ce qui peut être exploité pour extraire les tokens de réinitialisation du mot de passe et de vérification par e-mail. Tout déploiement de Parse Server utilisant MongoDB avec la vérification par e-mail ou la réinitialisation du mot de passe activée est concerné. Lorsque le paramètre emailVerifyTokenReuseIfValid est configuré, le token de vérification par e-mail peut être entièrement extrait et utilisé pour vérifier l'adresse e-mail d'un utilisateur sans accès à sa boîte de réception. Cette vulnérabilité est corrigée dans les versions 8.6.14 et 9.5.2-alpha.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.