CVE-2025-68150 in parse-server
Riassunto
di VulDB • 27/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 8.6.2 e 9.1.1-alpha.1, l'adattatore di autenticazione Instagram consentiva ai client di specificare un URL API personalizzato tramite il parametro `apiURL` presente in `authData`. Ciò consente attacchi SSRF (Server-Side Request Forgery) e potenzialmente elusioni dell'autenticazione se endpoint malevoli restituiscono risposte false per convalidare utenti non autorizzati. Il problema è stato risolto nelle versioni 8.6.2 e 9.1.1-alpha.1 hardcodando l'URL di Instagram Graph API `https://graph.instagram.com` ed ignorando i valori `apiURL` forniti dal client. Non sono disponibili workaround noti.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.