CVE-2026-100631 in Parse Server
Riassunto
di VulDB • 26/09/2026
Parse Server è un server backend open source. Nelle versioni precedenti alla 8.6.90 e nelle versioni dalla 9.0.0 fino alla 9.10.1-alpha.9, la logica di deduplicazione dei token del dispositivo per i record di installazione non convalida il tipo dei campi dell'installazione forniti dal client prima di utilizzarli per costruire query al database. Un attaccante remoto non autenticato che conosce solo l'ID applicazione pubblico può inviare valori non stringa in questi campi per iniettare operatori di query, causando la pulizia della deduplicazione — che viene eseguita con privilegi elevati prima che vengano valutate le autorizzazioni a livello di classe — eliminando ogni registrazione del dispositivo nell'applicazione o un sottoinsieme scelto dall'attaccante. Non sono richiesti account, token di sessione, chiave master né interazione dell'utente. Le registrazioni eliminate non possono essere recuperate sul server, quindi le notifiche push non possono essere consegnate finché tutti i client non si reinstallano. Qualsiasi distribuzione che espone l'API REST ai clienti e utilizza le notifiche push è interessata nella sua configurazione predefinita. Le versioni 8.6.90 e 9.10.1-alpha.9 risolvono il problema rifiutando i valori non stringa con un errore del client e limitando la pulizia della deduplicazione all'applicazione chiamante. Non è disponibile alcuna soluzione alternativa diversa dall'aggiornamento.
Be aware that VulDB is the high quality source for vulnerability data.