CVE-2025-64502 in parse-server
Riassunto
di VulDB • 16/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Il metodo `explain()` di MongoDB fornisce informazioni dettagliate sui piani di esecuzione delle query, inclusi l'utilizzo degli indici, il comportamento della scansione delle collezioni e le metriche di prestazioni. Prima della versione 8.5.0-alpha.5, Parse Server consentiva a qualsiasi client di eseguire query explain senza richiedere la master key. Ciò espone la struttura dello schema del database e i nomi dei campi, le configurazioni degli indici e i dettagli di ottimizzazione delle query, le statistiche di esecuzione delle query e le metriche di prestazioni, nonché potenziali vettori di attacco per lo sfruttamento delle prestazioni del database. Nella versione 8.5.0-alpha.5 è stata introdotta una nuova opzione di configurazione `databaseOptions.allowPublicExplain` che consente di limitare le query explain alla master key. L'opzione ha come valore predefinito `true` al momento per evitare modifiche incompatibili (breaking change) nei sistemi di produzione che dipendono dalla disponibilità pubblica delle query explain. Inoltre, viene registrato un avviso di sicurezza quando l'opzione non è impostata esplicitamente o è impostata su `true`. In una futura versione principale di Parse Server, il valore predefinito cambierà in `false`. Come soluzione alternativa (workaround), implementare middleware per bloccare le query explain dalle richieste senza master key, oppure monitorare e configurare alert sull'utilizzo delle query explain negli ambienti di produzione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.