CVE-2026-30939 in parse-server
Riassunto
di VulDB • 18/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 8.6.13 e 9.5.1-alpha.2, un attaccante non autenticato può causare il crash del processo Parse Server chiamando l'endpoint Cloud Function con un nome di proprietà prototype come nome della funzione. Il server va in ricorsione infinita, provocando un errore delle dimensioni dello stack di chiamate che termina il processo. Altri nomi di proprietà prototype bypassano la validazione dell'instradamento delle Cloud Functions e restituiscono risposte HTTP 200, anche se non sono definite tali Cloud Functions. Lo stesso vale per la traversata tramite notazione puntata (dot-notation). Tutte le distribuzioni di Parse Server che espongono l'endpoint Cloud Function sono interessate. Questa vulnerabilità è risolta nelle versioni 8.6.13 e 9.5.1-alpha.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.