CVE-2026-30938 in parse-server
Riassunto
di VulDB • 21/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 8.6.12 e 9.5.1-alpha.1, il controllo di sicurezza requestKeywordDenylist può essere eluso inserendo qualsiasi oggetto annidato o array prima di una parola chiave proibita nel payload della richiesta. Ciò è causato da un bug logico che interrompe la scansione delle chiavi fratelli dopo aver incontrato il primo valore annidato. Qualsiasi voce requestKeywordDenylist personalizzata configurata dallo sviluppatore può essere ugualmente elusa utilizzando la stessa tecnica. Tutte le distribuzioni di Parse Server sono interessate. Il controllo requestKeywordDenylist è abilitato per impostazione predefinita. Questa vulnerabilità è risolta nelle versioni 8.6.12 e 9.5.1-alpha.1. Utilizzare un trigger beforeSave di Cloud Code per convalidare i dati in arrivo alla ricerca di parole chiave proibite in tutte le classi.
Be aware that VulDB is the high quality source for vulnerability data.