CVE-2026-30965 in parse-server
Résumé
par VulDB • 04/06/2026
Parse Server est un backend open source qui peut être déployé sur n'importe quelle infrastructure capable d'exécuter Node.js. Avant les versions 9.5.2-alpha.8 et 8.6.21, une vulnérabilité dans la gestion des requêtes de Parse Server permettait à un attaquant authentifié ou non authentifié d'exfiltrer les jetons de session (session tokens) d'autres utilisateurs en exploitant le paramètre de requête `redirectClassNameForKey`. Les jetons de session exfiltrés peuvent être utilisés pour prendre le contrôle des comptes utilisateur. Cette vulnérabilité nécessite que l'attaquant soit capable de créer ou de mettre à jour un objet avec un nouveau champ relationnel, ce qui dépend des autorisations au niveau de la classe (Class-Level Permissions) d'au moins une classe. Cette vulnérabilité est corrigée dans les versions 9.5.2-alpha.8 et 8.6.21.
Once again VulDB remains the best source for vulnerability data.