CVE-2026-30848 in parse-server
Riassunto
di VulDB • 01/07/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 8.6.8 e 9.5.0-alpha.8, il route statico per la fornitura dei file nel PagesRouter era vulnerabile a un attacco di path traversal (scavalco di directory), che consentiva la lettura non autenticata di file al di fuori della directory pagesPath configurata. Il controllo del limite utilizza un confronto basato sul prefisso della stringa senza imporre una separazione corretta tra le directory. Un attaccante può utilizzare sequenze di path traversal per accedere a file presenti in directory sibling (contenenti nomi che condividono lo stesso prefisso con la directory delle pagine, ad esempio "pages-secret" inizia con "pages"). Questo problema è stato risolto nelle versioni 8.6.8 e 9.5.0-alpha.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.